Georgescu Dragos
O breșă de securitate care a stat ascunsă mai bine de un deceniu a pus în alertă guverne, agenții de securitate cibernetică și companii din întreaga lume. Problema afectează PHP, unul dintre cele mai folosite limbaje de programare pentru site-uri, și a fost descoperită cu ajutorul inteligenței artificiale. Potrivit specialiștilor, vulnerabilitățile ar putea permite atacatorilor să preia controlul asupra serverelor și să fure date sensibile. Alerta a ajuns și în România, unde Directoratul Național de Securitate Cibernetică (DNSC) le cere administratorilor să-și actualizeze urgent sistemele, iar primele instituții și-au suspendat deja site-urile.
Ce este PHP, limbajul care a declanșat o criză globală. Mii de site-uri din întreaga lume, în pericol
Deși puțini utilizatori au auzit de el, PHP este prezent în viața de zi cu zi a milioane de oameni. Este un limbaj de programare folosit încă de la începutul anilor 2000 pentru construirea și funcționarea site-urilor.
PHP rulează pe serverele care găzduiesc paginile web și are rolul de a prelua informațiile dintr-o bază de date și de a le transforma în pagina pe care o vede utilizatorul. Potrivit lui Paul Spain, directorul executiv al companiei Gorilla Cyber Security, citat de BBC, atunci când cineva accesează Wikipedia, PHP este cel care ajută la preluarea informațiilor și la afișarea lor într-o formă ușor de citit.
Tehnologia stă la baza unor platforme foarte cunoscute, de la Wikipedia până la WordPress, sistemul prin care sunt administrate un număr uriaș de site-uri și bloguri, dar și a multor magazine online. Din acest motiv, orice problemă de securitate în PHP poate avea efecte la scară globală.
Ce s-a descoperit
Vulnerabilitățile au fost identificate de cercetători de la firmele de securitate cibernetică Calif și Wiz, care au folosit instrumente avansate de inteligență artificială pentru a analiza codul sursă. Compania Wiz le-a descris drept cele mai grave vulnerabilități descoperite vreodată cu ajutorul AI.
Potrivit DNSC, echipa de securitate a PHP a publicat versiunile corectate pentru două vulnerabilități critice, înregistrate sub codurile CVE-2026-109618 și CVE-2026-109619 și cunoscute public sub numele de „PHP2Shell”. Ambele au primit un scor de 9,2 din 10 pe scala de severitate CVSS v4.0, iar dezvoltatorii PHP au confirmat oficial că acestea pot permite executarea de cod de la distanță fără autentificare.
Cu alte cuvinte, un atacator ar putea, teoretic, să preia controlul unui server vulnerabil fără să aibă nevoie de un cont sau de o parolă. Odată ajuns în sistem, ar putea accesa informații confidențiale, inclusiv bazele de date ale site-urilor afectate.
Cercetătorii au subliniat că erorile nu erau noi, ci existau în cod de ani de zile. Ce s-a schimbat a fost capacitatea de a le găsi, datorită noilor instrumente de inteligență artificială.
De ce este atât de gravă situația
Paul Spain estimează că problema ar putea afecta „milioane și milioane” de site-uri din întreaga lume. Jill Slay, cercetătoare în securitate cibernetică la Universitatea din Adelaide, avertizează că situația ar putea deveni dezastruoasă dacă hackerii sau anumite state ar folosi vulnerabilitățile pentru a fura date private.
DNSC atrage atenția că, în condițiile în care există deja dovezi de concept publice și trafic de atac raportat, exploatarea pe scară largă este foarte probabilă. Instituția precizează că orice server PHP neactualizat și expus în internet trebuie considerat la risc ridicat de compromitere.
Specialiștii avertizează că cele mai expuse sunt site-urile care nu sunt administrate corespunzător, în special cele ale organizațiilor mici, care nu au resurse suficiente pentru securitate informatică. În plus, cercetătorii se așteaptă la un val de tentative de atac în următoarele săptămâni, pe măsură ce detaliile tehnice circulă tot mai mult.
Și OpenAI a atras atenția că incidentul arată cele două fețe ale inteligenței artificiale: aceeași tehnologie care ajută la descoperirea vulnerabilităților îi poate ajuta și pe atacatori să dezvolte mai repede metode de atac.
Site-uri importante, oprite în toată lumea
Alerta a dus deja la suspendarea temporară a mai multor servicii online. Wikimedia, organizația din spatele Wikipedia, a scos din funcțiune o parte dintre sisteme, ca măsură de precauție. Site-uri ale guvernului Finlandei, ale Consiliului Local din Edinburgh și ale BBC au fost, de asemenea, oprite, iar agenția pentru securitate cibernetică din Olanda și-a închis temporar propriul site.
Universitatea din Geneva și-a suspendat site-ul la cererea echipei europene de răspuns la incidente informatice (CERT-EU), iar mai multe instituții publice din Scoția, inclusiv consilii locale și autorități din domeniul sănătății, au procedat la fel.
Amazon a anunțat că a fost ținta mai multor tentative de atac cu câteva zile înainte ca problema să fie făcută publică. Deocamdată, nu se știe cum au aflat atacatorii de existența vulnerabilității.
Reacția autorităților internaționale
Dezvoltatorii PHP le-au cerut tuturor utilizatorilor să actualizeze imediat. Agenția Națională de Securitate a SUA (NSA) a recomandat organizațiilor care nu pot instala imediat actualizările să-și scoată temporar sistemele din funcțiune, avertizând că vulnerabilitatea ar putea oferi acces direct la bazele de date.
Centrul Național pentru Securitate Cibernetică din Marea Britanie a emis recomandări similare și le-a cerut organizațiilor să verifice dacă atacatorii nu au instalat deja programe ascunse, care să le permită să păstreze accesul la sistemele compromise. Avertismente au venit și din partea instituțiilor din Uniunea Europeană, Singapore și Australia, iar premierul Japoniei le-a cerut celor care administrează site-uri publice să verifice dacă acestea folosesc PHP.
Alerta din România: ce spune DNSC
Directoratul Național de Securitate Cibernetică a publicat pe Facebook o alertă dedicată site-urilor din România. Recomandările principale sunt:
actualizarea imediată la una dintre versiunile corectate: PHP 8.5.12, 8.4.27, 8.3.36 sau 8.2.35;
repornirea tuturor proceselor PHP după actualizare și verificarea versiunii efectiv folosite de server;
folosirea măsurilor temporare de protecție doar până la instalarea actualizării, nu în locul acesteia;
pentru versiunile de PHP ajunse la sfârșitul ciclului de viață, care prezintă cel mai mare risc: corectarea prin furnizori de suport pe termen lung, izolarea serverelor și migrarea cu prioritate la o versiune suportată.
DNSC amintește că, potrivit Legii 58/2023, responsabilitatea securității cibernetice a unui sistem sau serviciu informatic revine celui care îl deține, îl administrează sau îl folosește.
Primăria Tulcea și-a închis temporar site-ul
Primele efecte s-au văzut deja și în România. Primăria municipiului Tulcea și-a suspendat temporar site-ul oficial, ca măsură preventivă. Primarul Ștefan Ilie a explicat că decizia a fost luată după ce firma care asigură serviciile IT ale instituției a primit alerta de securitate. Edilul a precizat că, prin portalul primăriei, se fac și plăți online, iar instituția nu a vrut să riște compromiterea datelor.
Pe durata suspendării, plățile se pot face prin platforma ghiseul.ro. Primarul și-a exprimat speranța că site-ul va fi repus în funcțiune în aproximativ 48 de ore.
Ce trebuie să facă administratorii de site-uri
Pentru echipele tehnice, specialiștii spun că instalarea actualizării este, în majoritatea cazurilor, o operațiune simplă. Pașii recomandați sunt:
verificarea versiunii de PHP folosite pe fiecare server;
instalarea imediată a versiunii corectate;
repornirea serviciilor și confirmarea faptului că rulează noua versiune;
verificarea jurnalelor de acces pentru activități suspecte;
suspendarea temporară a site-ului, dacă actualizarea nu poate fi făcută imediat;
urmărirea actualizărilor publicate de furnizorii de găzduire și de platformele folosite, precum WordPress sau alte sisteme de administrare a conținutului.
Ce pot face utilizatorii obișnuiți
Pentru utilizatorii de internet, riscul nu vine din folosirea directă a PHP, ci din posibilitatea ca site-urile pe care le folosesc să fie compromise. Specialiștii recomandă:
atenție la notificările primite de la serviciile online folosite, inclusiv cereri de schimbare a parolei;
folosirea unor parole diferite pentru fiecare cont;
activarea autentificării în doi pași, acolo unde este posibil;
prudență la mesajele suspecte care cer date personale sau parole, deoarece atacatorii pot profita de context pentru campanii de phishing.
Ce urmează
Experții se așteaptă ca următoarele săptămâni să fie decisive. Cu cât mai multe servere sunt actualizate rapid, cu atât scade riscul unor atacuri de amploare. Incidentul readuce însă în discuție o întrebare tot mai importantă: cum se vor proteja sistemele informatice într-o lume în care inteligența artificială poate descoperi vulnerabilități ascunse de ani de zile, atât pentru apărători, cât și pentru atacatori.
Am lăsat detaliile tehnice la nivel general, fără mecanismul de exploatare. Sursele dau date diferite pentru publicarea patch-ului (20 sau 21 octombrie), așa că nu am fixat ziua. Cifra de „peste 70% din site-uri” e a primarului din Tulcea, nu a DNSC, de aceea n-am inclus-o ca fapt.
