Întreruperi web la nivel mondial: vulnerabilitățile de securitate din PHP pot provoca întreruperi de până la câteva săptămâni

Din cauza a două vulnerabilități critice de securitate, guverne, administrații locale, universități și companii mari și-au dezactivat la nivel mondial o parte din site-urile lor în ultimele zile. Erorile au fost descoperite în PHP, limbajul de programare pe care, potrivit datelor W3Techs, rulează aproape 70% dintre site-urile web din lume, printre care WordPress, Wikipedia și Slack. Vulnerabilitățile denumite de cercetători „PHP2Shell”, având identificatorii CVE-2026-109618 și CVE-2026-109619, au fost clasificate de dezvoltatorii PHP în cea mai gravă categorie posibilă, ambele primind 9,2 puncte pe o scară de zece.

Potrivit The Hacker News, erorile se află în motorul PHP, astfel încât un site web este vulnerabil chiar și atunci când codul său propriu este corect, iar vulnerabilitățile afectează aproape toate versiunile de PHP începând cu 5.4. În cel mai periculos caz, cel al modulului Apache mod_php, utilizat pe scară largă, o singură cerere trimisă fără autentificare poate fi suficientă pentru ca un atacator să execute propriul cod pe server înaintea programului site-ului, practic preluând controlul asupra acestuia. Atacatorii pot, de asemenea, să vadă memoria serverului fără a executa cod, de unde pot fi scurse parole, token-uri de autentificare, chei de programare și certificate ale altor utilizatori.

Echipa de securitate PHP a emis marți seară un avertisment urgent și a cerut utilizatorilor să se pregătească pentru actualizare. Corecțiile au fost publicate miercuri, 21 octombrie, în loc de joi, cum era planificat inițial, după ce detaliile au fost scurse prematur, iar unul dintre cei care au descoperit vulnerabilitatea a publicat din greșeală un videoclip despre exploatarea erorii. Versiunile corectate sunt PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Versiunile 8.1 și cele mai vechi nu mai sunt susținute de dezvoltatori, pentru acestea existând doar corecții la nivel de cod sursă. Potrivit The Record, aproximativ jumătate dintre site-urile care folosesc PHP rulează pe o versiune atât de veche. CERT-EU, care protejează instituțiile Uniunii Europene, a recomandat deja marți ca cei care nu pot actualiza rapid sistemele să ia în considerare dezactivarea site-urilor web sau cel puțin deconectarea lor de la internetul public până la finalizarea corecției. BSI din Germania, centrele naționale de securitate cibernetică din Regatul Unit și Țările de Jos, precum și autoritățile din Japonia și Australia au emis, de asemenea, avertismente, iar Agenția Națională de Securitate a SUA (NSA) a avertizat că vulnerabilitatea poate oferi atacatorilor acces direct la sistemul de fișiere și la bazele de date ale serverelor. Centrul britanic de securitate cibernetică a cerut organizațiilor să verifice, după actualizare, dacă atacatorii nu au lăsat vreo portiță de acces (backdoor) în sistemele lor.

În Belgia, Țările de Jos, Finlanda, Franța și Germania, guvernele și-au dezactivat temporar unele dintre site-urile web. În Regatul Unit, site-urile administrațiilor locale din Edinburgh, Bristol și Oxford, iar în Franța, miercuri, mai multe administrații locale, inclusiv site-ul prefecturii de poliție din Paris, au devenit indisponibile. În Țările de Jos au fost afectate serviciul național de identitate digitală, site-ul camerei inferioare a parlamentului și cel al centrului național de securitate cibernetică, iar în Australia, temporar, și site-ul agenției de informații pentru semnale. Fundația Wikimedia a dezactivat preventiv mai multe dintre sistemele sale, iar potrivit The Record, Nintendo, spitalul Charité din Berlin și proiectul video open-source OBS și-au suspendat, de asemenea, unele servicii. Centrul de calcul al Universității din Freiburg a raportat, de asemenea, măsuri excepționale .

Vulnerabilitățile au fost descoperite și raportate de compania americană de securitate cibernetică Wiz, de grupul de cercetare Calif și de echipa OpenAI numită Codex Security, iar la corectarea lor au colaborat echipa de securitate PHP și echipa Google Gemini. Potrivit Calif, vulnerabilitățile au fost descoperite pe 1 august cu ajutorul unui model lingvistic de mari dimensiuni, iar Wiz și-a folosit propriul instrument de analiză împreună cu cele mai noi modele de inteligență artificială de la Google și OpenAI. Potrivit cercetătorilor, eroarea s-a aflat în codul PHP de peste un deceniu, unele dintre rădăcinile sale ajungând și mai în urmă în timp. Primele semne ale uneia dintre vulnerabilități au fost deja detectate de auditul extern de securitate al PHP din 2024, dar la momentul respectiv nimeni nu a găsit o cale prin care aceasta ar fi putut fi exploatată. Totuși, inteligența artificială este o armă cu două tăișuri. Potrivit lui Joviane Jardim, specialist la Detectify, în prezent majoritatea atacatorilor pot construi în decurs de o oră un instrument de atac funcțional pe baza corecțiilor publicate, astfel că un val de atacuri poate fi anticipat aproape imediat după actualizări. „Până acum nimănui nu i-a reușit, dar nu credem că va rămâne așa mult timp”, a declarat pentru The Record Jake Knott, angajat al companiei de securitate cibernetică watchTowr. Compania a detectat deja miercuri după-amiază tentative active de atac împotriva ambelor vulnerabilități, în parte folosind instrumente create cu inteligență artificială. Potrivit lui Dane Knecht, directorul de tehnologie al Cloudflare, atacatorii experimentează deja metode de a eluda regulile firewall ale companiei. Potrivit G4Media, CJ Moses, șeful departamentului de securitate al Amazon, a declarat că firma a detectat deja pe 17 octombrie, cu patru zile înainte de divulgarea publică, o tentativă de atac provenind de la o adresă IP anonimă pe unul dintre sistemele sale „capcană”. Nu există momentan informații confirmate despre vreo intruziune reușită.

Potrivit experților, pericolul nu va trece odată cu aplicarea corecțiilor. Costin Raiu, cercetător la compania de securitate cibernetică TLP:Black, se așteaptă la o compromitere în masă a serverelor web vulnerabile, iar specialistul în securitate Michał Woźniak afirmă că serverele compromise ar putea fi folosite pentru minarea criptomonedelor sau, de către actori statali și grupuri de criminalitate organizată, pentru atacuri de tip DDoS (de blocare prin suprasolicitare). Alan Woodward, profesor la Universitatea din Surrey, a avertizat că multe site-uri web nu sunt întreținute de nimeni, astfel încât acestea ar putea rămâne vulnerabile săptămâni sau chiar luni de zile, motiv pentru care trebuie să ne așteptăm la atacuri continue timp de săptămâni sau luni. Companiile și instituțiile care folosesc PHP trebuie, prin urmare, nu doar să își actualizeze sistemele, ci și să verifice dacă atacatorii nu au lăsat urme în acestea. Pentru cei responsabili de propriul site web, prioritatea este acum să verifice ce versiune de PHP rulează pe server și, dacă aceasta nu este una dintre versiunile corectate, să o actualizeze imediat sau să solicite ajutorul furnizorului de hosting.

Ugar