Ce se află în spatele numelui PHP2Shell
PHP2Shell este numele folosit pentru două vulnerabilități ale motorului PHP: CVE-2026-109618 și CVE-2026-109619. Anunțul oficial din 21 octombrie 2026 descrie posibilitatea executării de cod de la distanță fără autentificare.
Prima problemă privește gestionarea unei situații în care memoria disponibilă se epuizează. A doua ține de starea internă rămasă între cereri. În ambele cazuri, eroarea este în mediul de execuție, sub codul aplicației.
Un CMS actualizat nu înseamnă automat un server actualizat
Echipa PHP include în evaluarea de risc instalațiile care servesc cereri web: PHP-FPM, mod_php, php-cgi, FrankenPHP și LiteSpeed. Riscul demonstrat cel mai ridicat este pentru mod_php. Nu este suficient ca administratorul să recunoască doar numele CMS-ului.
Pentru un website WordPress, o actualizare a nucleului sau a unui modul nu schimbă neapărat versiunea PHP folosită de server. Sunt două niveluri diferite, cu responsabili și proceduri care trebuie corelate.
Versiunile care includ corecțiile inițiale
Versiunile din tabel sunt reperele anunțate la divulgare. Pentru o intervenție ulterioară se alege o versiune suportată, cu actualizările de securitate curente, sau pachetul corectat și confirmat de furnizorul distribuției.
| Ramură PHP | Versiune corectată |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Comenzi pentru inventarul PHP
Rulează aceste comenzi în terminalul mediului pe care îl verifici, cu PHP disponibil în PATH. Ele afișează informații și nu instalează actualizări. Într-un container, verificarea se face în mediul aplicației, nu doar pe gazdă.
php --version
php --iniVersiunea CLI poate fi diferită de PHP-FPM sau de modulul folosit de website. Acest rezultat nu confirmă singur că aplicația web a primit corecția.
Cum se închide corect intervenția
Recomandăm un inventar al website-urilor și al mediilor lor de execuție înaintea modificărilor. Aceeași mașină poate avea mai multe versiuni PHP, iar versiunea din linia de comandă poate fi diferită de cea folosită de website.
Intervenția trebuie să lase o dovadă verificabilă a versiunii active și a funcționării aplicației. Un mesaj de succes al managerului de pachete este doar un pas al procesului.
- Identifică serviciul PHP și pachetul folosit de fiecare website.
- Pregătește o copie de siguranță și o variantă de revenire compatibilă.
- Aplică actualizarea și repornește controlat procesele care trebuie să încarce noua versiune.
- Verifică paginile esențiale, formularele, comenzile și sarcinile programate, după caz.
- Confirmă versiunea activă și urmărește erorile după intervenție.
Actualizarea se urmărește până la ultimul pachet
La 23 octombrie, echipa PHP a publicat și o recomandare privind session.upload_progress.enabled pentru o combinație neobișnuită de configurare. La 26 octombrie au apărut pachete Windows reconstruite cu o corecție Brotli. Acestea sunt detalii separate, care trebuie verificate în anunțurile curente.
Pentru echipa care operează website-ul, concluzia practică este să documenteze runtime-ul, dependențele și verificările efectuate. Monitorizarea și filtrarea traficului completează această muncă; nu înlocuiesc aplicarea corecțiilor.
Surse și verificare
Informațiile tehnice au fost verificate la 31 octombrie 2026. Starea pachetelor și recomandările furnizorilor se pot modifica; înaintea unei intervenții se consultă anunțul curent pentru produsul folosit.