Ce reprezintă noile vulnerabilități PHP și de ce necesită acțiune imediată

O serie recentă de vulnerabilități PHP cu impact critic a generat alerte majore în comunitatea de securitate web. În cadrul lansărilor de securitate din octombrie 2026, echipa oficială PHP a confirmat două breșe structurale — înregistrate sub codurile CVE-2026-109618 și CVE-2026-109619 — care permit executarea de cod de la distanță (Remote Code Execution sau RCE) fără a necesita autentificare prealabilă pe server.

Spre deosebire de breșele apărute la nivel de module sau teme, unde un atacator are nevoie de un formular nesecurizat sau de un cont creat, aceste defecte afectează direct modul în care motorul PHP preia și interpretează cererile HTTP. În anumite condiții de găzduire, un pachet de date malițios poate rula comenzi la nivel de sistem înainte ca aplicația web (cum ar fi WordPress, Magento sau o platformă custom) să apuce să ruleze vreo instrucțiune.

„All PHP users are strongly encouraged to update immediately. Who is at risk: all PHP installations serving web requests, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed.”

Infrastructuri expuse și mecanismul tehnic din spatele breșelor

Raportul oficial indică un risc ridicat pentru mediile care utilizează modulul Apache mod_php, însă expunerea rămâne semnificativă și pentru configurațiile bazate pe PHP-FPM sau serverele LiteSpeed. Mecanismele exploatate vizează manipularea memoriei interne:

Coruperea memoriei la epuizarea resurselor (CVE-2026-109618): Fenomenul apare când un proces atinge limita de memorie disponibilă (Out-Of-Memory). În timpul procedurii de oprire a cererii, componentele parțial inițializate sunt tratate eronat de rutina de curățare ca fiind valide, permițând injectarea de comenzi arbitrare.
Stare reziduală între cereri succesive (CVE-2026-109619): În arhitecturile unde procesele rămân active pentru mai multe cereri (workers), starea internă a unei solicitări poate persista în memorie după eliberare. O cerere ulterioară trimisă pe același proces poate reutiliza acele date reziduale înainte de resetarea completă a mediului.

Versiuni de securitate: cum verifici dacă ești protejat

Singura cale sigură și definitivă de protecție împotriva acestor vulnerabilități PHP este trecerea la versiunile de mentenanță care includ patch-urile oficiale:

PHP 8.5: actualizare la versiunea 8.5.12
PHP 8.4: actualizare la versiunea 8.4.27
PHP 8.3: actualizare la versiunea 8.3.36
PHP 8.2: actualizare la versiunea 8.2.35

O atenție deosebită este necesară pentru proiectele care rulează pe ramuri retrase (PHP 8.1, PHP 8.0 sau PHP 7.4). Aceste platforme au depășit demult ciclul de viață (End of Life) și nu mai primesc remedieri oficiale de la echipa PHP. Dacă infrastructura dumneavoastră depinde încă de astfel de versiuni, planificarea unei migrări către o platformă modernă prin intermediul serviciilor noastre de dezvoltare și mentenanță web este un pas esențial pentru continuitatea afacerii.

Măsuri temporare de limitare a expunerii

Dacă un server de producție nu poate fi actualizat imediat, există câteva ajustări de configurare care pot reduce suprafața de atac, deși acestea nu înlocuiesc aplicarea versiunilor noi:

Controlul memoriei în procese: Setarea directivei memory_limit = -1 direct în fișierul de configurare al pool-ului FPM sau în configurarea globală Apache, blocând modificarea acesteia din fișiere locale. Măsura elimină declanșarea erorilor de memorie controlate de atacator.
Limitarea dimensiunii datelor primite: Reducerea parametrului post_max_size la valori de 8M sau 32M (dacă procesarea fișierelor este necesară) și alinierea corespunzătoare a parametrului upload_max_filesize.
Dezactivarea monitorizării încărcărilor în sesiuni: Setarea session.upload_progress.enabled = 0 în fișierul principal php.ini și repornirea serviciilor PHP pentru a bloca vectorul principal legat de memoria reziduală.

Securitatea serverului ca proces continuu

Gestionarea proactivă a riscurilor digitale presupune aplicarea sistematică și imediată a corecțiilor de securitate. Breșele de tip RCE sunt printre cele mai periculoase din mediul online, deoarece ocolesc complet barierele logice sau filtrele din aplicații.

Pentru toate proiectele găzduite în ecosistemul WebHive, securitatea este un proces integrat și continuu. Monitorizăm în permanență alertele critice din industrie, iar toate patch-urile oficiale de securitate, actualizările de kernel și politicile avansate de izolare a resurselor sunt implementate la nivel de infrastructură imediat ce devin disponibile. În acest mod, platformele dezvoltate și găzduite de noi beneficiază mereu de protecție maximă la zi, eliminând riscurile tehnice fără a necesita intervenția sau efortul clienților noștri.