PHP2Shell: ce verifici la sistemele web ale firmei tale din Spania

Ce reprezintă PHP2Shell?

CVE-2026-109618 și CVE-2026-109619 afectează memoria și starea păstrată de PHP între cereri. Ambele au scor critic CVSS 9,2. În condiții vulnerabile, impactul confirmat include execuție de cod de la distanță și divulgarea memoriei.

Au fost demonstrate cazuri în Apache mod_php și PHP-FPM, cu cerințe diferite. Nu toate instalările se exploatează la fel și nu este întotdeauna suficientă o singură cerere.

INCIBE raportează atacuri anterioare patch-urilor; CISA preciza că nu observase exploatare la publicarea alertei din 21 octombrie. Nu deducem din aceste observații dacă au existat intruziuni reușite.

Ce aplicații trebuie verificate în Spania?

Problema este în PHP, nu neapărat în aplicația de deasupra lui. Întreabă administratorul unde rulează PHP și în ce versiune.

• WordPress, WooCommerce, PrestaShop, Joomla și Drupal.
• Intranet, CRM, ERP web, rezervări și portaluri WiFi care folosesc PHP.
• Panouri de administrare ale echipamentelor, după confirmarea producătorului.
• Un server Windows cu PHP vulnerabil trebuie verificat. Sistemele fără o instalare PHP vulnerabilă nu sunt afectate direct de aceste erori.

Ce a aplicat iDeo pe serverele de găzduire?

Conform situației operaționale comunicate de iDeo pe 22 octombrie, măsurile provizorii sunt aplicate pe toate serverele sale de găzduire, pentru versiuni începând cu PHP 5.6. Ele nu înlocuiesc actualizarea completă.

• session.upload_progress.enabled = 0 dezactivează o cale de atac demonstrată.
• session.use_strict_mode = 1 întărește sesiunile în general; nu este o corecție completă pentru PHP2Shell.
• Aplicăm progresiv actualizările pentru PHP 7.4 și ulterior distribuite prin Plesk și cPanel.
• Pentru site-uri pe PHP 7.3 sau mai vechi, vom planifica migrarea împreună cu clientul.

Ce confirmare ceri furnizorului de hosting?

Cere în scris versiunea PHP exactă, pachetul care include corecția completă și confirmarea repornirii proceselor. Actualizarea WordPress și a modulelor sale nu rezolvă singură problema.

Pentru sistemele gestionate de noi, centrul de asistență inventariază PHP, prioritizează serviciile expuse la Internet, verifică jurnalele și cere confirmări furnizorilor externi. Documentăm sistemele corectate și intervențiile rămase. Repornirea și orice întrerupere se coordonează înainte, fără o durată universală promisă.

Care sunt versiunile PHP corectate?

Instalează versiunea corectată a ramurii sau un pachet al furnizorului cu un backport complet documentat. Un patch excepțional nu restabilește suportul regulat pentru o versiune veche.

PHP 8.1 și versiunile mai vechi nu mai au suport regulat. Există patch-uri excepționale de cod sursă pentru 7.4, 8.0 și 8.1: verifică pachetul furnizorului și planifică migrarea. Suportul de securitate PHP 8.2 se încheie la 31-12-2026.

Ce faci dacă actualizarea nu poate fi imediată?

PHP avertizează că nicio configurație temporară nu oferă o remediere completă. Dezactivarea progresului de încărcare, limitarea cererilor și un WAF pot reduce anumite căi de atac, dar nu înlocuiesc patch-ul.

Setările trebuie impuse de administratorul serverului și procesele trebuie repornite. O instrucțiune introdusă în WordPress nu este suficientă. Stabilește cu responsabilul tehnic cum limitezi expunerea până la actualizare.

Cum procedezi dacă observi modificări neobișnuite?

Păstrează fișierele și jurnalele și contactează echipa tehnică. Dacă sunt implicate date personale, evaluează incidentul cu responsabilul de protecția datelor. Pentru operațiunea din Spania, o încălcare notificabilă conform GDPR are, în general, termen de 72 de ore de la luarea la cunoștință, exceptând situațiile în care riscul pentru drepturi și libertăți este improbabil. Autoritatea competentă și obligația se stabilesc pentru cazul concret.