Vulnerabilități critice în PHP: site-uri guvernamentale din Europa, oprite preventiv
Două vulnerabilități cu scor 9,2 în limbajul PHP au dus la scoaterea din funcțiune a unor site-uri publice în Țările de Jos, Finlanda, Danemarca și Franța. Remedierea a fost lansată miercuri.
Mai multe instituții publice din Europa au scos preventiv din funcțiune site-uri, după ce dezvoltatorii limbajului PHP au anunțat, marți, 20 octombrie, două vulnerabilități critice. Informațiile despre incident sunt relatate de HotNews, care citează Reuters, și de avizul de securitate al CERT-EU.
Ce spune CERT-EU
Potrivit avizului CERT-EU 2026-018, fundația PHP a anunțat pe 20 octombrie o viitoare versiune de securitate. CERT-EU leagă două vulnerabilități critice de codurile CVE-2026-109618 și CVE-2026-109619, ambele cu scorul CVSS 9,2, ceea ce indică posibilitatea executării de cod de la distanță, fără autentificare. HotNews notează că, potrivit avizului, identificatorii CVE și scenariul de exploatare nu fuseseră confirmați de PHP.
La momentul publicării avizului nu fuseseră făcute publice detalii tehnice, în afara scorurilor. CERT-EU arată că vulnerabilitățile ar putea afecta toate versiunile PHP începând cu PHP 5. Potrivit HotNews, PHP nu a precizat care versiuni sunt vulnerabile.
CERT-EU anunțase lansarea remedierii pentru miercuri, 21 octombrie, la ora 14:00 UTC. HotNews scrie, cu referire la Reuters, că versiunea corectată a apărut miercuri, în jurul orei 13:45 GMT.
Organizațiile sunt îndemnate să identifice aplicațiile bazate pe PHP și să aplice imediat actualizările. Acolo unde acest lucru nu este posibil, CERT-EU recomandă izolarea aplicațiilor expuse pe internet de rețelele publice, până la aplicarea unei remedieri.
Site-uri oprite în mai multe țări
Potrivit HotNews, în Țările de Jos au fost oprite, ca măsură de precauție, site-urile Centrului Național pentru Securitate Cibernetică, Portului Rotterdam, portalului Overheid.nl și federației de fotbal KNVB. Au fost scoase din funcțiune și site-urile celor cinci mari partide politice și ale mai multor spitale.
În Danemarca, Kombit, furnizorul de servicii IT pentru municipalități, a închis mai multe servicii, printre care platforma națională de comunicare cu școlile. În Finlanda, Valtori, furnizorul IT al statului, a scos din funcțiune servicii publice din rețeaua guvernamentală. În Franța, Ministerul de Interne a dezactivat temporar site-uri administrative ale autorităților locale.
Agențiile de securitate cibernetică din state membre ale UE, din Australia, Japonia și Marea Britanie le-au îndemnat utilizatorilor PHP să instaleze imediat actualizările sau să își scoată site-urile din funcțiune, notează publicația.
Ce spun companiile de securitate
Compania de securitate Huntress a declarat că PHP stă, de multe ori fără ca utilizatorii să știe, la baza unor platforme precum WordPress, Drupal, Joomla și Magento, a serviciilor de găzduire partajată și a panourilor de control. Potrivit datelor W3Techs, citate de HotNews, PHP este folosit de aproximativ 75% dintre site-urile al căror limbaj de server poate fi identificat, iar WordPress de aproximativ 43% dintre toate site-urile.
Wordfence a precizat că toate site-urile WordPress rulează pe servere cu PHP și că actualizările automate nu vor include această remediere. Dane Knecht, directorul tehnic al Cloudflare, a spus că încep să apară atacuri, că firma își actualizează regulile de firewall ca măsură temporară și că utilizatorii ar trebui să instaleze imediat actualizarea.
Automattic, compania din spatele WordPress.com, nu a vrut să discute detalii de securitate și a transmis că echipa sa a lucrat cu echipa de securitate PHP. CISA, agenția americană de securitate cibernetică, nu a răspuns solicitărilor de comentarii.
În România, site-urile guvernamentale păreau să funcționeze normal la momentul publicării articolului HotNews.
