Întrebări frecvente
Răspunsuri scurte. Detalii găsiți pe paginile de cunoștințe indicate prin link.
Ce este PHP2Shell?
PHP2Shell desemnează două vulnerabilități critice în PHP însuși (CVE-2026-109618 și CVE-2026-109619, CVSS 9.2). Ele pot permite atacatorilor să execute cod malițios pe server fără autentificare. Patchuri există din 21.10.2026.
Ce versiuni PHP sunt sigure?
Corecturile se află în PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Furnizorii de hosting și distribuțiile aplică uneori backporturi fără a schimba numărul versiunii. Decisivă este versiunea pachetului sau confirmarea scrisă a furnizorului.
Este suficientă o actualizare WordPress sau a magazinului?
Nu. Vulnerabilitatea se află în PHP, nu în CMS. O actualizare a CMS-ului nu o închide. Iar un patch PHP nu elimină codul malițios introdus deja înainte.
Cât de repede puteți ajuta?
Lucrăm la distanță și începem de îndată ce accesurile sunt disponibile. Scrieți-ne pe WhatsApp sistemul, versiunea PHP și ce ați observat. Apoi clarificăm direct procedura.
Lucrați și pentru agenții și pentru clienții furnizorilor de hosting?
Da. Lucrăm direct pentru companii, în fundal la comanda agențiilor și în coordonare cu furnizorul dumneavoastră de hosting, dacă acesta administrează serverul.
Trebuie să raportăm incidentul?
Dacă pot fi afectate date cu caracter personal, conform art. 33 RGPD se aplică, de regulă, un termen de notificare de 72 de ore de la luarea la cunoștință. Dacă se aplică, clarificați cu responsabilul dumneavoastră cu protecția datelor. Noi livrăm documentația tehnică pentru aceasta.
Este PHP2Shell o vulnerabilitate WordPress?
Nu. Vulnerabilitățile se află în PHP, adică în limbajul de programare pe care rulează WordPress, Shopware, TYPO3 și multe alte sisteme. O actualizare a CMS-ului nu le închide, așadar. Decisivă este starea PHP de pe server.
Trebuie să fac eu ceva ca client al unui furnizor de hosting?
La hostingul partajat, actualizarea PHP o aplică de regulă furnizorul de hosting. Ar trebui totuși să vă faceți confirmat în scris că versiunea PHP folosită de dumneavoastră a fost actualizată și repornită. Dacă înainte de patch s-a întâmplat ceva, actualizarea nu răspunde.
De unde vine numele PHP2Shell?
Numele descrie consecința: prin PHP, un atacator poate obține, în cel mai rău caz, o linie de comandă, adică un shell, pe server. Denumirile oficiale sunt numerele CVE-2026-109618 și CVE-2026-109619.
Înseamnă că site-ul meu a fost deja atacat dacă a fost scos offline?
Nu neapărat. Unii furnizori au scos site-uri din rețea preventiv, așa cum recomandă BSI (Oficiul Federal German pentru Securitatea Informațiilor) atunci când o actualizare nu este posibilă imediat. Este o măsură de protecție și nu o dovadă a unui atac.
Este suficient dacă furnizorul meu de hosting a actualizat PHP?
Poate fi suficient dacă furnizorul confirmă în scris starea pachetelor și toate procesele PHP au fost repornite. Numărul versiunii afișat nu este în sine o dovadă, deoarece distribuțiile aplică backporturi. Dacă serverul a fost atacat deja înainte, un patch oricum nu răspunde.
Trebuie ca site-ul meu să treacă offline pentru asistența de urgență?
Nu neapărat. BSI (Oficiul Federal German pentru Securitatea Informațiilor) recomandă scoaterea temporară din rețea a serverelor web dacă actualizarea nu este posibilă imediat. Dacă este necesar în cazul dumneavoastră, decidem împreună după inventar.
Mă protejează o actualizare WordPress sau Shopware de PHP2Shell?
Nu. PHP2Shell se află în PHP însuși, nu în CMS. O actualizare a CMS-ului rămâne utilă, dar nu închide această vulnerabilitate.
Ce se întâmplă la PHP 8.1 sau mai vechi?
Pentru aceste versiuni nu mai există actualizări oficiale din partea proiectului PHP, ci doar backporturi minime în codul sursă pentru 7.4, 8.0 și 8.1. Protejăm serverul provizoriu și planificăm împreună cu dumneavoastră trecerea la o versiune susținută.
De când curg cele 72 de ore?
Potrivit art. 33 RGPD, din momentul în care operatorul a luat cunoștință de încălcare. Când se poate considera că s-a întâmplat acest lucru într-un caz concret este o evaluare juridică. Documentați de aceea exact cine a avut ce informație și când.
Trebuie notificată orice vulnerabilitate de securitate?
Nu. O vulnerabilitate singură nu este încă o încălcare a securității datelor cu caracter personal. Notificarea poate deveni obligatorie dacă există indicii că persoane neautorizate au avut sau au putut avea acces la astfel de date și de aici rezultă un risc pentru persoanele vizate.
Ce fac dacă după 72 de ore încă nu știu totul?
Art. 33 alin. 4 RGPD permite transmiterea informațiilor în etape, dacă nu pot fi furnizate în același timp. O notificare întârziată trebuie motivată. Așteptarea unei clarități depline nu este, de regulă, un motiv să lăsați termenul să treacă.
Cine notifică dacă a fost afectat hosterul?
Obligația de notificare revine operatorului, adică de regulă firma care operează site-ul. O persoană împuternicită de operator, precum hosterul, trebuie să informeze operatorul fără întârziere nejustificată, potrivit art. 33 alin. 2 RGPD.
Unde raportez o încălcare a securității datelor?
La autoritatea de supraveghere competentă pentru protecția datelor. Pentru firmele din Germania este de obicei autoritatea landului federal în care își au sediul. Majoritatea autorităților oferă formulare online pentru aceasta.
Fiecare oră contează. Scrieți-ne acum.
Descrieți pe scurt sistemul, versiunea PHP și ce ați observat. Ne vom face auziți, clarificăm situația și lucrăm la distanță până când incidentul este încheiat și documentat.