Breșa de securitate PHP arată cât de mult s-a scurtat timpul de reacție al companiilor în era AI (experți)
O breșă ascunsă de peste zece ani în limbajul de programare PHP a devenit, în această săptămână, o urgență globală, iar cazul arată cât de mult s-a scurtat în era Inteligenței Artificiale (AI) timpul pe care îl are o companie să reacționeze, afirmă experții în securitate cibernetică.
Potrivit unui comunicat de presă al Zitec, transmis vineri AGERPRES, calendarul s-a comprimat după ce informațiile despre vulnerabilitățile descoperite au fost publicate pe data de 20 octombrie, iar echipa PHP a lansat update-urile de urgență pe 21 octombrie, cu o zi mai devreme decât era planificat.
'Autoritățile de securitate din Europa au cerut organizațiilor să își actualizeze imediat sistemele. Impactul e semnificativ, pentru că, potrivit W3Techs, PHP rulează pe 69,3% dintre site-urile al căror limbaj server-side este cunoscut. (...) cazul arată cât de mult s-a scurtat în era AI timpul pe care îl are o companie ca să reacționeze. Vulnerabilitățile, înregistrate ca CVE-2026-109618 și CVE-2026-109619, se regăsesc în PHP de mai bine de zece ani, iar semnalele au existat cu mult înainte de momentul de acum', se arată în comunicat.
Experții Calif, companie de AI red-teaming din California, subliniază faptul că întreg comportamentul care stă la baza problemei a fost semnalat într-un 'bug report' încă din anul 2020, fără urmări, iar în 2024, în timpul primului audit extern de securitate al PHP, un dezvoltator din echipa de bază a observat primele semne ale vulnerabilității, după cum confirmă chiar PHP Foundation. A
'Anul acesta, modelele AI de ultimă generație au schimbat situația. Wiz, Google, OpenAI și Calif au descoperit vulnerabilitățile în august, cu ajutorul AI, și le-au ținut confidențiale până când update-urile au fost pregătite. Wiz descrie momentul ca pe un punct de inflexiune, în care AI-ul a transformat un cod vulnerabil vechi de peste zece ani într-un atac funcțional', punctează sursa citată.
CERT-EU, echipa de răspuns la incidente de securitate a instituțiilor Uniunii Europene, a evaluat ambele vulnerabilități cu scorul CVSS de 9,2, ceea ce arată că, în anumite condiții, acestea permit unui atacator să ruleze cod pe server de la distanță, fără autentificare, și să citească din memoria serverului informații, precum parole, chei API sau certificate. În acest context, pentru o companie, riscul se traduce în date ale clienților expuse, servicii care pot fi oprite și acces la sistemele conectate.
'Pentru că vulnerabilitatea se află în PHP, platforma pe care rulează aplicațiile, o companie poate fi expusă chiar dacă propriul cod este scris și întreținut corect. Evaluările experților s-au nuanțat pe măsură ce au apărut mai multe date. Amazon Threat Intelligence a înregistrat o primă tentativă de exploatare pe 17 octombrie, cu patru zile înaintea dezvăluirii publice. Pe 22 octombrie, Sansec, companie specializată în securitatea platformelor de e-commerce, a apreciat că o exploatare în masă e mai puțin probabilă decât se estima inițial, pentru că un atac are nevoie de cunoștințe specifice despre serverul vizat și de anumite condiții de configurare. În același timp, companii de securitate precum watchTowr au raportat tentative active de exploatare, iar agenția americană de securitate cibernetică CISA nu observase exploatări la momentul alertei sale din 21 octombrie. Pentru o companie, concluzia rămâne aceeași, pentru că riscul e real și update-ul are prioritate', susține Zitec.
Organizațiile mari au reacționat pe măsură: Wikimedia Foundation - care operează Wikipedia - a scos temporar din funcțiune o parte dintre sisteme, ca măsură de precauție, iar în România, Directoratul Național de Securitate Ciberetică (DNSC) a emis o alertă pentru cele două vulnerabilități.
'PHP2Shell nu a fost singurul incident major al săptămânii. Tot între 17 și 20 octombrie, s-a aflat că cheile private ale opt certificate au fost compromise. Astfel de chei pot fi folosite pentru a emite certificate false pentru site-uri pe care atacatorul nu le controlează. Browserele majore au blocat certificatele afectate, eMudhra le-a revocat, iar proiecte precum Composer, managerul de pachete al ecosistemului PHP, și-au actualizat listele de certificate de încredere. Potrivit eMudhra, doar unul dintre cele opt certificate era folosit în producție și niciunul nu emisese certificate către utilizatori finali. În paralel, GitLab, platformă de dezvoltare software și CI/CD, a lansat în octombrie update-uri pentru vulnerabilitatea CVE-2026-97229, cu scorul maxim de 10, după ce o altă vulnerabilitate cu același scor, CVE-2026-85706, fusese exploatată activ în septembrie', se precizează în comunicat.
La momentul actual, update-urile oficiale acoperă versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35, în timp ce PHP 8.1 și versiunile mai vechi au ajuns la 'end-of-life', iar pentru PHP 7.4, 8.0 și 8.1 au fost publicate doar backport-uri minimale de cod-sursă, care trebuie integrate și testate de fiecare echipă.
'Experiența ultimelor zile confirmă că viteza de reacție depinde de infrastructura construită dinainte. Pe proiectele pe care le operează pentru clienți, Zitec a răspuns în două etape. Înaintea publicării update-urilor oficiale, echipa de incident a urmărit în timp real informațiile din surse verificate și a aplicat măsuri țintite, inclusiv reguli de WAF, care au protejat aplicațiile împotriva tentativelor de exploatare. În paralel, echipa a aplicat o măsură separată pentru incidentul eMudhra. În a doua etapă, în 15 minute de la publicarea imaginilor PHP actualizate, pipeline-urile automate au generat imaginile specifice fiecărui proiect, iar echipele le-au verificat, testat și lansat în mediile de producție. Proiectele au rămas cu zero atacuri confirmate până la data publicării', conform sursei citate.
Una dintre recomandările experților, ca prim pas, este instalarea update-ului PHP cât mai curând, iar un Web Application Firewall pus în fața aplicațiilor expuse blochează tiparele de atac cunoscute și câștigă timp până la update.
'Cloudflare a livrat reguli dedicate inclusiv pe planul gratuit, cu aproximativ nouă ore înainte de dezvăluirea publică, iar echipa Zitec lucrează cu astfel de soluții specializate, precum Cloudflare și Google Cloud Armor. Totuși, WAF-ul rămâne o apărare suplimentară, iar Cloudflare își descrie propriile reguli drept o soluție temporară, ajustată pe măsură ce atacatorii își schimbă metodele. Incidentul eMudhra adaugă o recomandare pentru toate companiile, indiferent dacă folosesc sau nu PHP: listele de certificate de încredere din aplicații, biblioteci și containere trebuie actualizate odată cu restul stack-ului tehnologic, pentru că browserele s-au protejat automat, dar multe aplicații au nevoie de un update explicit', notează specialiștii.
Totodată, pe termen lung, se recomandă companiilor să trateze update-urile, protecția aplicațiilor și planul de reacție ca parte din strategia de business. AGERPRES/(AS - redactor: Daniel Badea, editor: Mariana Nica, editor online: Ada Vîlceanu)
Conținutul website-ului www.agerpres.ro este destinat exclusiv informării publice. Toate informaţiile publicate pe acest site de către AGERPRES sunt protejate de dispoziţiile legale incidente. Sunt interzise copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a conţinutului acestui website. Informaţiile transmise pe www.agerpres.ro pot fi preluate, în conformitate cu legislaţia aplicabilă, în limita a 500 de semne. Detalii în secţiunea Condiţii de utilizare. Dacă sunteţi interesaţi de preluarea ştirilor AGERPRES, vă rugăm să contactaţi Direcţia Marketing - marketing@agerpres.ro.
Alte știri din categorie
Federația Agro-Star 2022 cere condiții de muncă adecvate și stabilitate profesională pentru salariații APIA
Federația Agro-Star 2022 susține că eforturile angajaților Agenției de Plăți și Intervenție pentru Agricultură (APIA), implicați în procesarea cererilor și autorizarea plăților către fermieri, trebuie recunoscute prin asigurarea unor condiții de muncă adecvate, a stabilității profesionale și a respectării drepturilor salariale și de muncă, potrivit unui comunicat al or
Pistol: Lucrările pe cele 4 tronsoane ale autostrăzii Sibiu-Făgăraș au ajuns la stadii fizice cuprinse între 28,01% și 53,49%
Lucrările pe cele patru tronsoane ale Autostrăzii Sibiu - Făgăraș au ajuns la stadii fizice cuprinse între 28,01% și 53,49%, acestea fiind programate să se finalizeze în anul 2028, a notat, vineri, directorul general al Companiei Naționale de Administrare a Infrastructurii Rutiere (CNAIR), Cristian Pistol, pe pagina sa de Facebook. 'Autostrada
ASF a lansat un ghid privind asigurările de garanții în achizițiile publice, pentru prevenirea riscurilor contractuale
Autoritatea de Supraveghere Financiară (ASF) a elaborat și publicat un ghid privind asigurările de garanții în procesul de achiziții publice, destinat autorităților contractante și operatorilor economici, pentru prevenirea riscurilor contractuale, a întârzierilor și a blocajelor în derularea investițiilor finanțate din fonduri publice.
Trenurile CFR Călători vor circula modificat între București Nord și Aeroportul Otopeni, între 28 și 30 octombrie
Circulația trenurilor CFR Călători pe ruta București Nord - Aeroportul Internațional Henri Coandă va suferi modificări temporare, în perioada 28 - 30 octombrie, în intervalul orar 9:00 - 14:00, din cauza unor lucrări la infrastructura feroviară, a anunțat, vineri, compania. În vederea asigurării condițiilor necesare desfășură
Ministerul Finanțelor a atras, vineri, 55 milioane de lei de la bănci, suplimentar la licitația de joi
Ministerul Finanțelor a atras, vineri, 55 milioane de lei de la bănci, suplimentar la licitația de joi, când a împrumutat 886,5 milioane lei, printr-o emisiune de obligațiuni de tip benchmark, cu o maturitate reziduală la 28 luni, la un randament mediu de 6,61% pe an, potrivit datelor publicate de Banca Națională a României (BNR).
Depozitele populației și firmelor au crescut cu 8,8% în septembrie 2026, la aproape 691 de miliarde de lei
Depozitele rezidenților clienți neguvernamentali au crescut cu 8,8% în septembrie 2026, comparativ cu aceeași lună a anului trecut, până la 690,779 miliarde de lei, în timp ce față de august 2026 au înregistrat un avans de 0,4%, potrivit datelor publicate vineri de Banca Națională a României (BNR). În termen
Bursa de Valori București a deschis în scădere ședința de tranzacționare de vineri
Bursa de Valori București (BVB) a deschis în scădere ședința de vineri, cu un rulaj total în valoare de 7,66 milioane lei (1,43 milioane euro), după aproximativ 50 de minute de la debutul tranzacțiilor. Indicele principal BET, care reflectă evoluția celor mai lichide 20 de companii listate, era în scădere cu 0,26%, iar indice
BNR: Soldul creditului neguvernamental acordat de instituțiile de credit a crescut în luna septembrie 2026 cu 0,7%
Soldul creditului neguvernamental acordat de instituțiile de credit a crescut în luna septembrie 2026 cu 0,7% față de august 2026 (-0,02% în termeni reali), până la nivelul de 480,263 miliarde lei, arată datele publicate vineri de Banca Națională a României (BNR). Creditul în lei, cu o pondere de 66,8% în vo
Despăgubirile plătite în baza asigurărilor facultative de locuință au depășit 90 de milioane de lei în primul semestru
Despăgubirile plătite în baza asigurărilor facultative de locuință au depășit 90 de milioane de lei în primul semestru din 2026, în creștere cu 14% față de aceeași perioadă a anului trecut, în timp ce numărul polițelor a avansat cu 8%, potrivit unui comunicat al Uniunii Naționale a Societăților de Asigurare și Reasigurare din România (UN
Peste 3,88 milioane de utilizatori ai Spațiului Privat Virtual; ANAF extinde utilizarea instrumentelor digitale
Spațiul Privat Virtual (SPV) are în prezent 3.888.211 utilizatori, iar ponderea verificărilor documentare în totalul acțiunilor de control a depășit ținta asumată prin Planul Național de Redresare și Reziliență (PNRR), potrivit unui comunicat al Agenției Naționale de Administrare Fiscală (ANAF). Instituția a organizat, în per
INS: România avea peste 500.000 de locuri de cazare turistică la 31 iulie 2026, în creștere cu 7,7%
România avea, la 31 iulie 2026, peste 500.000 de locuri de cazare turistică, în creștere cu 7,7% față de aceeași dată a anului trecut, potrivit datelor publicate vineri de Institutul Național de Statistică (INS). Numărul structurilor de primire turistică a ajuns la 16.399, cu 2.074 mai multe (+14,5%) față de 31 iulie 2025, în
Marele premiu la Loto 6/49, în valoare de 3,32 milioane de euro, a fost câștigat cu un bilet de 24,50 lei
Marele premiu la Loto 6/49, în valoare de 17,761 milioane de lei (peste 3,32 milioane de euro), a fost câștigat la tragerile de joi, cu un bilet jucat pe aplicația mobilă AmParcat.ro, informează vineri Loteria Română. Biletul norocos a fost completat cu 3 variante simple la Loto 6/49, prețul acestuia fiind de 24,50 de lei.
INS: Cifra de afaceri din industrie a crescut cu 10,3% în august 2026
Cifra de afaceri din industrie, pe total (piața internă și piața externă), a crescut în termeni nominali cu 10,3% în luna august 2026, comparativ cu aceeași perioadă a anului trecut, însă a scăzut cu 13,7% față de luna precedentă, potrivit datelor publicate vineri de Institutul Național de Statistică (INS). Cifra de afaceri d
Scădere cu 2,8% a comenzilor noi din industria prelucrătoare, în primele opt luni (statistică)
Comenzile noi din industria prelucrătoare au scăzut, în termeni nominali, în primele opt luni ale anului în curs, cu 2,8%, comparativ cu perioada similară din 2025, arată datele publicate, vineri, de Institutul Național de Statistică (INS). În marja scăderii generale au fost înregistrate diminuări ale comenzilor &