Ce este PHP? Limbajul de programare explicat

Pe scurt: PHP este un limbaj de scriptare open source, folosit în principal pentru aplicații web. Codul rulează pe server, generează acolo HTML și trimite browserului doar rezultatul. Deoarece multe CMS-uri, magazine online și instrumente interne se bazează pe PHP, versiunea PHP de pe server este un factor de securitate de sine stătător, independent de actualizarea CMS-ului.

Ce este PHP? O definiție în cuvinte simple

Manualul PHP descrie PHP ca pe un limbaj de scriptare open source, foarte răspândit și de uz general, potrivit în special pentru dezvoltarea web și care poate fi încorporat în HTML. Numele este un acronim recursiv, adică o abreviere care se conține pe sine: „PHP: Hypertext Preprocessor”.

Diferența esențială față de JavaScript din browser: codul PHP se execută pe server. Vizitatorul primește doar rezultatul final și nu vede codul sursă. Acest lucru face PHP potrivit pentru tot ce trebuie să rămână confidențial, de exemplu accesul la baza de date, autentificările sau calculul prețurilor.

Potrivit manualului, PHP are două domenii principale de utilizare: scripturi de server pentru site-uri web și scripturi în linia de comandă, de exemplu sarcini periodice prin Cron. Ambele se găsesc în aproape orice companie care are propriul site, un magazin online sau un portal pentru clienți.

Unde se ascunde PHP în compania dumneavoastră?

PHP este rareori vizibil direct. Se află în software pe care îl cunoașteți sub alt nume. Exemple tipice:

• Sisteme de gestionare a conținutului (CMS) precum WordPress, TYPO3, Joomla, Drupal sau Contao
• Sisteme de magazin precum Shopware, WooCommerce, Magento sau PrestaShop
• Servicii interne precum Nextcloud, Moodle, MediaWiki sau Matomo
• Dezvoltări proprii pe baza unor framework-uri precum Laravel sau Symfony
• Interfețe web ale dispozitivelor și ale panourilor de hosting

Fiecare dintre aceste aplicații are nevoie de un mediu de execuție PHP instalat, adică de programul care execută codul PHP. Acest mediu este un software separat, cu propriile actualizări. O actualizare a WordPress sau Shopware nu actualizează PHP. De aceea, cine ce sisteme operează trebuie consemnat într-un inventar, așa cum descrie articolul Inventarul tuturor site-urilor și serverelor.

Cum arată codul PHP?

Codul PHP se află între marcajele <?php și ?>. Tot ce este în afara lor este afișat neschimbat ca HTML. Un exemplu mic, inofensiv:

<?php
$stunde = (int) date('G');
$gruss  = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
  <body>
    <p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
  </body>
</html>

Serverul execută partea PHP și trimite browserului doar HTML gata făcut, de exemplu „Guten Tag, heute ist der 25.10.2026”. Funcția htmlspecialchars() convertește caracterele speciale și protejează astfel împotriva HTML injectat. Asemenea funcții de protecție integrate sunt unul dintre motivele pentru care un cod PHP scris corect poate fi sigur.

Din ce componente este alcătuit un mediu PHP?

Un site PHP nu este format doar din codul aplicației. Mai multe straturi lucrează împreună, iar fiecare are nevoie de întreținere proprie:

Legătura dintre serverul web și PHP se numește SAPI (Server Application Programming Interface). Faptul că PHP rulează ca modul Apache, prin PHP-FPM sau ca CGI are consecințe pentru exploatare și securitate. Mai multe detalii la SAPI explicat și în articolul Cum generează PHP o pagină web.

De ce contează versiunea PHP pentru securitate

Fiecare versiune PHP este întreținută doar o perioadă limitată. Potrivit php.net, fiecare ramură de versiune beneficiază de doi ani de suport activ și apoi de încă doi ani doar de corecții de securitate. După aceea, ramura ajunge la sfârșitul duratei de viață și nu mai primește actualizări oficiale. Detaliile se află la Versiunile PHP și ciclul de lansare.

PHP2Shell arată cât de important este acest lucru. În octombrie 2026 au devenit publice două vulnerabilități critice în PHP însuși, CVE-2026-109618 și CVE-2026-109619, ambele cu CVSS v4.0 9,2. Ele permit execuția de cod malițios de la distanță, fără autentificare. Au fost remediate în PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Pentru PHP 8.1 și versiunile mai vechi nu mai există actualizări oficiale.

Pentru factorii de decizie rezultă trei puncte:

1. O actualizare de CMS nu închide o vulnerabilitate din PHP. Ambele trebuie actualizate separat.
2. După o actualizare PHP, toate procesele PHP trebuie repornite, altfel codul vechi continuă să ruleze în memorie.
3. Un patch nu dovedește că înainte nu s-a întâmplat nimic. La serverele neprotejate, o verificare a urmelor face parte din proces.

Ce este exact vulnerabilitatea și pe cine afectează explică pagina Ce este PHP2Shell?.

Cum ajută PHP SOS concret?

• Inventarierea: Stabilim care dintre sistemele dumneavoastră folosesc PHP, în ce versiune și în ce mod de operare.
• Clarificarea responsabilităților: Arătăm ce părți întreține furnizorul dumneavoastră de hosting și care rămân în sarcina dumneavoastră sau a agenției.
• Actualizarea: Prin serviciul de patch PHP instalăm actualizările, repornim toate procesele și documentăm starea.
• Verificarea ulterioară: Acolo unde un server a fost accesibil fără protecție, căutăm urme ale unei intruziuni.

Întrebări frecvente

Surse

• Manualul PHP: introducere
• Manualul PHP: istoria PHP
• php.net: versiuni suportate