Pe scurt: Dacă sunteți afectat de PHP2Shell depinde de trei lucruri: versiunea PHP, modul de operare și dacă și cum s-a aplicat patchul. Dacă nu sunteți sigur, contactați-ne acum. Sunteți afectat? Sunați-ne. Vă ajutăm. Clarificăm aceasta la distanță, chiar pe server, nu după intuiție, și închidem vulnerabilitatea dacă este deschisă.
Acum nu ștergeți nimic și nu reinstalați nimic. Chiar dacă vreți doar să clarificați dacă sunteți afectat: dacă serverul a fost poate deja atacat, avem nevoie de fișiere și loguri neschimbate. Anunțați urgența, iar apoi parcurgem verificarea împreună.
Sunteți afectat? Aceste cazuri aparțin listei de verificare
PHP2Shell sunt două vulnerabilități critice în PHP însuși (CVE-2026-109618 și CVE-2026-109619, ambele cu evaluarea maximă 9.2 conform CVSS v4.0). Ele permit cod malițios de la distanță, fără autentificare. Pot fi afectate toate modurile de operare: PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Verificați fiecare dintre aceste sisteme:
- servere proprii, vServere și servere root cu PHP
- pachete de hosting și servere administrate, chiar dacă nu aveți acces la configurație
- containere și servicii de platformă care aduc cu ele o imagine PHP
- sisteme de test, medii de staging și sisteme vechi uitate, accesibile din internet
- NAS, appliance-uri sau software de la prestatori care folosesc intern PHP
Tocmai sistemele uitate sunt riscul. Potrivit Unit 42, există peste 22,6 milioane de instanțe expuse și potențial vulnerabile, iar BSI se aștepta la o exploatare rapidă, la scară largă.
Ce faceți imediat
- Întocmiți un inventar. Notați toate serverele, domeniile și contractele de hosting pe care rulează PHP și cine răspunde de ele.
- Stabiliți versiunea PHP pentru fiecare sistem. Pe servere cu
php -v. Rețineți că linia de comandă poate folosi o altă versiune decât serverul web. - Clarificați modul de operare. PHP rulează ca PHP-FPM, ca mod_php sau prin LiteSpeed? La mod_php, echipa PHP estimează riscul ca fiind cel mai ridicat.
- Întrebați furnizorul de hosting și prestatorii. În scris: ce versiune rulează, a fost aplicată corectura, au fost repornite toate procesele?
- Păstrați logurile. Presa de specialitate recomandă păstrarea logurilor începând cu 20.10.2026.
- Nu așteptați mult. Dacă un sistem este deschis și patchul nu este posibil imediat, BSI recomandă scoaterea temporară din rețea a serverului web.
Cum ajută PHP SOS concret?
Clarificăm dacă sunteți afectat la distanță și cu dovezi.
- Imaginea situației: Ne descrieți inventarul și ordonăm sistemele după accesibilitate și risc.
- Salvare și închidere: Acolo unde este deschis, salvăm mai întâi starea și apoi închidem vulnerabilitatea prin actualizare, împreună cu repornirea. Acolo unde nu se poate imediat, aplicăm măsuri provizorii, care nu sunt o protecție completă.
- Verificare și curățare: Verificăm dacă vulnerabilitatea a fost exploatată înainte de patch și curățăm, dacă este necesar. Separăm clar dacă un server este afectat și dacă a fost eventual deja atacat.
- Securizare și raport: Primiți o listă pentru fiecare sistem: versiune, mod de operare, dovada patchului, puncte deschise.
Cum dovediți că sunteți afectat
Numărul versiunii singur nu este suficient, pentru că furnizorii fac backport la corecturi. Ubuntu 24.04 afișează, de exemplu, potrivit rapoartelor, și după actualizare tot 8.3.6. Trei căi sunt de încredere:
| Calea | Ce arată | Limita |
|---|---|---|
| Compararea versiunii cu stările de corectare | 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 ori mai nouă este remediată | se aplică doar versiunilor originale, nu backporturilor |
Test pentru memory_hard_limit_percent |
bool(false) înseamnă: directivă necunoscută, deci afectat |
se rulează separat pentru fiecare versiune și mod de operare |
| Căutarea numerelor CVE în changelog-ul pachetului | dovedește backporturile la distribuții | sursa este arhiva de securitate a furnizorului |
Testul arată astfel:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Cum verificați curat versiunea și starea patchului găsiți pe pagina Verificarea corectă a versiunii PHP și a stării patchului. O privire de ansamblu asupra ramurilor oferă Ce versiuni PHP sunt afectate?. De ce afișarea poate arăta veche în ciuda patchului explică articolul php -v afișează un număr vechi.
Afectat și care nu mai poate fi corectat: PHP 8.1 și mai vechi
Pentru PHP 8.1 și mai vechi nu mai există actualizări oficiale ale proiectului PHP, ci doar backporturi minime la nivel de sursă pentru 7.4, 8.0 și 8.1. Cine folosește o astfel de versiune are de obicei două căi: un furnizor cu backport dovedit sau migrarea la o versiune întreținută. Există oferte comerciale de suport pe termen lung; dacă și când acoperă PHP2Shell trebuie să confirme în scris furnizorul. Vă ajutăm la încadrare la PHP 8.1 și mai vechi: ce se aplică acum și la implementare în serviciul de patch PHP.
Ce ar trebui să ne trimiteți
- Lista serverelor, a domeniilor și a furnizorilor de hosting
- Versiunea PHP pentru fiecare sistem, în măsura în care o cunoașteți
- Modul de operare și serverul web, în măsura în care le cunoașteți
- Indicarea dacă în față există Cloudflare sau altă protecție și dacă serverul de origine este accesibil direct
- Răspunsurile furnizorului dumneavoastră de hosting, dacă i-ați întrebat deja
- O persoană de contact pentru aprobări și reporniri
De ce PHP SOS
Lucrăm Made in Germany și suntem specializați în securitate IT de peste 25 de ani, împreună cu rețeaua noastră de parteneri din profesioniști cyber. Aveți un singur interlocutor, care parcurge inventarul dumneavoastră și dovedește fiecare afirmație, în loc să citească doar numere de versiune. Lucrăm la distanță, fără deplasare, și documentăm ce am verificat. O afirmație precum „sigur” o facem doar în măsura în care poate fi dovedită. Pentru medii mai mari se poate lua în calcul ajutorul de urgență PHP2Shell.
Sunteți afectat? Sunați-ne. Vă ajutăm.
Dacă nu știți dacă sunteți afectat, acesta este motiv suficient să ne contactați acum. Sunați-ne sau scrieți-ne pe WhatsApp. Preluăm cazul de la primul mesaj și clarificăm împreună cu dumneavoastră, pe server. Anunțați acum urgența.
Întrebări frecvente
Sunt afectat de PHP2Shell dacă folosesc doar WordPress sau un magazin online?
Posibil, da. Vulnerabilitățile se află în PHP, nu în CMS. Decisiv este ce versiune PHP și ce mod de operare livrează efectiv la dumneavoastră; o actualizare WordPress nu schimbă nimic în această privință.
Este suficient numărul versiunii pentru a ști dacă sunt corectat?
Nu întotdeauna. Distribuțiile și furnizorii de hosting aplică uneori corecturile ca backport, iar atunci numărul rămâne același. Relevante sunt changelog-ul pachetului cu numerele CVE sau confirmarea scrisă a furnizorului dumneavoastră.
Există un test rapid pentru a vedea dacă versiunea mea PHP conține corectura?
Potrivit manualului PHP, o versiune care nu cunoaște directiva memory_hard_limit_percent este afectată. Testul trebuie rulat separat pentru fiecare versiune PHP și mod de operare, deoarece linia de comandă poate folosi o altă versiune decât serverul web.
Sunt afectate și versiunile PHP mai vechi, precum 7.4 sau 8.0?
Potrivit presei de specialitate, sunt afectate aproape toate versiunile până înapoi la PHP 5.4. Pentru 8.1 și mai vechi nu mai există actualizări oficiale din partea proiectului PHP, ci doar backporturi minime la nivel de sursă. Dacă un furnizor le-a aplicat, trebuie să confirme el.
Mă protejează Cloudflare dacă sunt afectat?
Parțial. Cloudflare a lansat reguli de protecție, dar avertizează chiar el că acestea nu înlocuiesc actualizarea. Dacă serverul dumneavoastră de origine este accesibil direct, protecția este ocolită.