Este site-ul tău în pericol? Ce trebuie să știi despre noile vulnerabilități PHP

Execuție de cod arbitrar

Problema cu aceste vulnerabilități este că un atacator poate să ruleze ce cod dorește pe serverul tău dacă acestea sunt exploatate. În acest moment nu există exemple de companii care să fi fost afectate direct, însă Amazon Web Services a publicat o postareprin care arată existența exploatărilor înainte ca aceste vulnerabilități să fie făcute publice. Exploatările au fost identificate pe sisteme honeypot, adică pe capcane puse intenționat pentru a monitoriza modul în care sunt atacate vulnerabilitățile.

AWS a postat și o listă cu pași pentru protecție, prezentată mai jos în această postare.

Vulnerabilitățile sunt prezente în sistemul de sesiune, mai exact în session.upload_progress. Din această cauză, prevenția devine, deși inconfortabilă, relativ simplă, iar în acest moment există deja patch-uri oficiale de remediere.

Companii afectate

În acest moment nu există date despre companii afectate direct de aceste vulnerabilități, însă, pentru a se proteja, multe au ales să își oprească temporar website-urile sau părți din ele (mai exact, formularele de tip multipart/form-data).

Dacă dorești să afli mai multe informații despre partea tehnică și cum sunt exploatate aceste vulnerabilități poți citi această postare publicată de ELLIO.

Patch-urile oficiale

Pentru companiile care au website-uri construite pe PHP 8.2 sau versiuni mai noi, patch-urile oficiale au rezolvat deja această problemă. Totuși, după cum prea bine știm, o bună parte din aplicațiile PHP rulează încă pe versiuni mai vechi, adică pe sisteme custom și CMS-uri precum WordPress, PrestaShop, Joomla și așa mai departe.

În cazul acestor sisteme, actualizarea versiunii de PHP este de cele mai multe ori anevoioasă și, în multe cazuri, foarte costisitoare.

Iată lista propusă de AWS pentru acțiunile pe care le poți lua pentru a-ți păstra website-ul securizat:

1. Upgradează imediat la versiunile de PHP remediate. Actualizarea este singura soluție completă pentru ambele vulnerabilități, CVE-2026-109618 și CVE-2026-109619. Nu există soluții alternative care pot fi aplicate doar din configurare și care să rezolve integral ambele probleme.
2. Ia în considerare blocarea încărcărilor de fișiere de tip multi-part în mediile PHP care nu pot fi patch-uite/actualizate imediat, dar evaluează mai întâi modul în care acest lucru ar afecta aplicația ta înainte de a aplica măsura.
3. Caută cereri POST care conțin șirul de caractere PHP_SESSION_UPLOAD_PROGRESS în cadrul încărcărilor din formulare.
4. Analizează jurnalele (logurile) serverului web pentru a identifica activități suspecte.
5. Verifică dacă există executări neașteptate de procese sau modificări neautorizate de fișiere pe serverele aplicațiilor web.
6. Pentru sistemele vechi, ia în calcul eliminarea sau dezactivarea temporară a formularelor de tip multipart/form-data.

Dacă actualizarea la o versiune mai nouă de PHP nu este viabilă imediat, lista de mai sus rămâne valabilă prin celelalte măsuri de prevenție.

Fundația PHP nu va oferi suport oficial pentru versiunile care nu mai sunt întreținute (mai mici de PHP 8.2), însă furnizori comerciali precum Zend sau terți precum Ondřej Surý au lansat deja patch-uri de protecție.

Ce înseamnă asta pentru tine?

Actualizarea versiunii de PHP rămâne cea mai bună opțiune prin care te poți proteja. Având în vedere că majoritatea aplicațiilor PHP sunt pe soluții de hosting shared, există șanse ca furnizorii să introducă o rezolvare pentru versiunile vechi prin patch-uri terțe (cum sunt cele oferite de Ondřej Surý), însă nu te poți baza exclusiv pe asta.

Pentru cei care folosesc hosting shared, șansele sunt ca actualizările oficiale pentru PHP 8.2, 8.3, 8.4 și 8.5 să fie deja prezente, însă ar trebui să verificați acest lucru contactând serviciul de hosting.

Pentru cei care rulează medii de hosting custom, actualizările trebuie făcute manual.

Deoarece problema a fost deja reparată în versiunile PHP care au suport oficial, recomandarea finală rămâne actualizarea. Realitatea este că, dacă ai un magazin online care încă rulează pe versiuni vechi de PHP (cum ar fi 5.X / 7.X), această actualizare trebuia făcută de mult, iar costul de migrare sau refacere pentru un site de prezentare/blog este la cel mai mic nivel din ultimii ani. Pentru sistemele interne lucrurile devin mai nuanțate, deoarece acestea se pot izola și proteja mult mai simplu.

Din punctul meu de vedere, mentenanța aplicațiilor pentru orice limbaj de programare va deveni mai critică în următorii ani, deoarece rata de descoperire a vulnerabilităților va crește considerabil cu ajutorul AI-ului, lucru care ar trebui luat în considerare pentru următorul tău proiect.