Pe 21 octombrie 2026, au fost anunțate două vulnerabilități critice de securitate în PHP, unul dintre cele mai utilizate limbaje de programare pentru dezvoltarea website-urilor și aplicațiilor web. Identificate prin codurile CVE-2026-109618 și CVE-2026-109619, acestea puteau permite, în anumite condiții, compromiterea aplicațiilor care utilizau versiuni PHP vulnerabile.
La cyber_Folks, am aplicat deja remedierile de securitate necesare pentru toate versiunile PHP disponibile pe infrastructura noastră, inclusiv pentru versiunile mai vechi. Actualizările au fost realizate la nivelul serverelor, fără să fie necesară vreo acțiune din partea clienților.
În acest articol îți explicăm ce presupun aceste vulnerabilități, care sunt versiunile PHP vizate, ce măsuri am luat și ce recomandăm pentru menținerea securității website-ului tău.
Două vulnerabilități critice PHP. Care au fost riscurile?
Vulnerabilitățile CVE-2026-109618 și CVE-2026-109619, anunțate pe 21 octombrie 2026, au fost evaluate cu un scor de severitate de 9,2 din 10 conform standardului CVSS 4.0, ceea ce le încadrează în categoria vulnerabilităților critice.
Aceste probleme de securitate sunt asociate cu riscul de executare a codului de la distanță, cunoscut sub denumirea de Remote Code Execution (RCE).
Mai exact, în anumite condiții, un atacator ar fi putut exploata vulnerabilitățile pentru a executa instrucțiuni neautorizate pe un server care utilizează o versiune PHP vulnerabilă.
În funcție de configurația serverului, de permisiunile disponibile și de modul de funcționare a aplicației, un astfel de atac ar fi putut avea consecințe precum:
- accesarea neautorizată a unor informații;
- modificarea sau compromiterea fișierelor;
- afectarea funcționării website-urilor și aplicațiilor;
- preluarea controlului asupra anumitor componente ale sistemului.
De ce sunt importante aceste vulnerabilități?
PHP stă la baza unui număr foarte mare de website-uri, magazine online și aplicații web.
Printre platformele populare care utilizează PHP se numără WordPress, WooCommerce, PrestaShop și Joomla, alături de numeroase aplicații dezvoltate personalizat.
Spre deosebire de vulnerabilitățile care afectează un anumit plugin sau modul, problemele descoperite în PHP pot avea implicații asupra mai multor tipuri de aplicații care utilizează versiuni vulnerabile ale limbajului.
Asta nu înseamnă că toate website-urile care folosesc PHP puteau fi compromise automat. Riscul efectiv depinde de configurația serverului și de condițiile necesare pentru exploatarea vulnerabilităților.
Cu toate acestea, severitatea problemelor identificate a făcut necesară aplicarea rapidă a actualizărilor de securitate.
Ce versiuni PHP au fost vizate?
În urma descoperirii vulnerabilităților, echipa responsabilă de dezvoltarea PHP a publicat actualizări de securitate pentru versiunile care beneficiază de suport oficial: PHP 8.2, 8.3, 8.4 și 8.5.
Dar ce se întâmplă cu versiunile PHP mai vechi, care nu mai primesc actualizări oficiale?
Acestea nu au fost ignorate. Furnizorii platformelor de hosting au distribuit remedieri de securitate adaptate versiunilor mai vechi, printr-un proces cunoscut sub denumirea de backporting.
Astfel:
- CloudLinux a publicat pachete de securitate corectate pentru versiunile alt-php de la 5.2 până la 8.5.
- cPanel a inclus remedierile în pachetele ea-php pentru versiunile PHP 7.4–8.5, distribuite prin EasyApache 4.
- Aceste actualizări permit remedierea vulnerabilităților inclusiv în medii care utilizează versiuni PHP mai vechi.
Ce înseamnă un patch backportat?
Un backport reprezintă adaptarea unei remedieri de securitate dezvoltate pentru o versiune recentă de software, astfel încât aceasta să poată fi aplicată și unei versiuni mai vechi.
Acest mecanism este important în cazul aplicațiilor care nu pot fi migrate imediat la o versiune PHP recentă, din motive de compatibilitate.
Important: În cazul versiunilor PHP care au primit patch-uri backportate, numărul versiunii afișate în panoul de administrare poate rămâne neschimbat, chiar dacă remedierile de securitate au fost aplicate.
De exemplu, o versiune PHP mai veche poate continua să fie afișată cu același număr, dar pachetul instalat pe server poate include deja corecțiile necesare pentru vulnerabilitățile identificate.
Prin urmare, numărul versiunii PHP afișate nu este întotdeauna suficient pentru a determina dacă un anumit patch de securitate a fost aplicat.
Ce măsuri a luat cyber_Folks pentru protejarea clienților?
Securitatea serviciilor de găzduire reprezintă o prioritate pentru cyber_Folks.
În urma anunțării vulnerabilităților CVE-2026-109618 și CVE-2026-109619, echipa noastră tehnică a intervenit pentru aplicarea remedierilor de securitate necesare la nivelul infrastructurii.
Am aplicat patch-urile de securitate pentru toate versiunile PHP instalate pe serverele noastre, inclusiv pentru ramurile mai vechi și cele mai recente.
Actualizările au fost realizate folosind pachetele de securitate disponibile pentru mediile respective, inclusiv cele distribuite prin CloudLinux și cPanel.
Astfel, toate versiunile PHP oferite pe infrastructura cyber_Folks sunt patch-uite împotriva celor două vulnerabilități critice.
Cum au fost aplicate actualizările PHP în cPanel?
Pentru administrarea serviciilor de găzduire, cyber_Folks România utilizează cPanel.
În mediile bazate pe cPanel, actualizările PHP pot fi distribuite prin EasyApache 4, componenta care permite instalarea și administrarea pachetelor PHP de pe server.
În paralel, pentru mediile care utilizează CloudLinux, remedierile au fost disponibile și prin pachetele alt-php.
Aplicarea acestor actualizări la nivelul serverelor permite remedierea vulnerabilităților fără ca fiecare client să fie nevoit să instaleze individual patch-urile.
Un aspect important este că aplicarea unui patch de securitate nu presupune automat schimbarea versiunii PHP utilizate de website.
Astfel, un website care funcționează pe o versiune PHP mai veche poate beneficia de o remediere de securitate backportată fără să fie migrat automat la o versiune PHP mai recentă.
Trebuie să faci ceva dacă ai găzduire la cyber_Folks?
Nu. Pentru remedierea vulnerabilităților CVE-2026-109618 și CVE-2026-109619, nu este necesară nicio acțiune din partea ta.
Actualizările de securitate au fost aplicate de echipa noastră tehnică, direct la nivelul serverelor cyber_Folks.
Nu trebuie să instalezi manual patch-urile și nici să schimbi versiunea PHP exclusiv pentru a beneficia de remedierile aferente acestor două vulnerabilități.
Totuși, chiar dacă infrastructura este protejată împotriva vulnerabilităților menționate, recomandăm utilizarea unei versiuni PHP care beneficiază de suport oficial.
De ce recomandăm actualizarea versiunii PHP?
Fiecare versiune PHP are un ciclu de viață limitat, pe parcursul căruia beneficiază de actualizări și remedieri de securitate.
După încheierea perioadei oficiale de suport, dezvoltatorii PHP nu mai publică regulat actualizări pentru versiunea respectivă.
Deși furnizorii platformelor de hosting pot distribui patch-uri suplimentare pentru anumite vulnerabilități, utilizarea unei versiuni PHP ieșite din suport poate implica riscuri de securitate pe termen lung.
De aceea, dacă website-ul tău utilizează o versiune PHP mai veche, îți recomandăm să planifici migrarea către o versiune aflată în perioada oficială de suport.
Înainte de schimbarea versiunii PHP, este important să:
Actualizezi aplicația utilizată de website, de exemplu WordPress, PrestaShop sau Joomla.
Actualizezi temele, pluginurile, modulele și celelalte dependențe.
Verifici compatibilitatea acestora cu versiunea PHP către care dorești să migrezi.
Realizezi o copie de siguranță și, dacă este posibil, testezi compatibilitatea înainte de modificarea versiunii PHP pe website-ul activ.
Aceste verificări sunt importante în special pentru website-urile mai vechi și magazinele online care utilizează numeroase module sau integrări.
Cum schimbi versiunea PHP în cPanel?
Actualizarea aplicației, a temei sau a pluginurilor nu modifică automat versiunea PHP utilizată de website.
După ce ai verificat compatibilitatea aplicației cu o versiune PHP mai recentă, trebuie să selectezi separat versiunea dorită.
Dacă ai găzduire la cyber_Folks, poți face acest lucru:
Direct din contul tău cPanel, utilizând instrumentele disponibile pentru administrarea versiunii PHP.
Cu ajutorul asistentului robo_Folks, disponibil în cPanel, care te poate ghida în procesul de schimbare a versiunii PHP.
Înainte de modificare, asigură-te că website-ul, tema, modulele și integrările sale sunt compatibile cu noua versiune.
Extra protecție pentru site-ul tău cu Cloudflare
Chiar dacă vulnerabilitățile PHP au fost deja remediate pe infrastructura cyber_Folks, poți adăuga un nivel suplimentar de securitate website-ului tău prin Cloudflare.
Cloudflare a implementat reguli de protecție WAF (Web Application Firewall) împotriva exploatării vulnerabilităților CVE-2026-109618 și CVE-2026-109619. Detalii pe blogul Cloudflare.
Acestea contribuie la blocarea cererilor malițioase înainte ca ele să ajungă la server, atunci când traficul website-ului trece prin proxy-ul Cloudflare și regulile de protecție sunt active.
Vrei să configurezi Cloudflare pentru website-ul tău? Urmărește tutorialul nostru video și află, pas cu pas, cum să faci acest lucru.
Ai un VPS fără administrare? Iată ce trebuie să știi
Dacă utilizezi un VPS cyber_Folks fără suport tehnic și administrare, verificarea și aplicarea actualizărilor de securitate sunt responsabilitatea ta sau a administratorului desemnat.
Pentru a-ți proteja serverul, îți recomandăm:
- Verifică versiunile PHP instalate și asigură-te că au aplicate patch-urile de securitate necesare.
- Actualizează PHP la o versiune care beneficiază de suport oficial, după verificarea compatibilității website-ului.
- Ia în considerare Imunify360, care poate oferi remedieri de securitate prin HardenedPHP inclusiv pentru versiuni PHP mai vechi, precum 7.2 și 7.3, în funcție de configurația serverului.
Dacă preferi să lași administrarea și actualizările de securitate în grija specialiștilor, poți opta pentru un pachet de suport tehnic și administrare cyber_Folks.
Important: VPS-urile fără management nu beneficiază de monitorizarea proactivă sau aplicarea automată a patch-urilor de către echipa noastră.
Securitatea website-ului tău rămâne o prioritate
La cyber_Folks, monitorizăm permanent informațiile despre noile vulnerabilități și aplicăm actualizările necesare pentru protejarea serviciilor de găzduire.
În cazul vulnerabilităților CVE-2026-109618 și CVE-2026-109619, toate versiunile PHP oferite pe infrastructura noastră au primit remedierile de securitate necesare, inclusiv cele care nu mai beneficiază de suport oficial din partea proiectului PHP.
Nu este necesară nicio acțiune din partea clienților pentru aplicarea acestor patch-uri.
Recomandăm însă menținerea website-urilor, aplicațiilor și versiunilor PHP la zi, pentru o securitate mai bună și pentru a reduce riscurile pe termen lung.
Întrebări frecvente despre vulnerabilitățile PHP
Sunt identificatorii a două vulnerabilități critice de securitate descoperite în PHP, anunțate pe 21 octombrie 2026.u003cbru003eAcestea au fost asociate cu riscul de executare a codului de la distanță pe serverele vulnerabile, în anumite condiții.
Da. Echipa noastră tehnică a aplicat remedierile necesare pentru toate versiunile PHP disponibile pe infrastructura cyber_Folks, inclusiv pentru versiunile mai vechi.
Nu este necesară instalarea manuală a patch-urilor pentru cele două vulnerabilități, deoarece acestea au fost aplicate la nivelul serverelor.u003cbru003eTotuși, dacă website-ul tău utilizează o versiune PHP care nu mai beneficiază de suport oficial, recomandăm migrarea către o versiune mai recentă, după verificarea compatibilității aplicației.
Versiunile PHP mai vechi disponibile pe infrastructura cyber_Folks au primit remedierile necesare pentru vulnerabilitățile CVE-2026-109618 și CVE-2026-109619.u003cbru003eTotuși, acest lucru nu înseamnă că o versiune PHP ieșită din suport oferă același nivel de protecție pe termen lung ca una care beneficiază de actualizări oficiale.u003cbru003eRecomandăm migrarea către o versiune PHP aflată în perioada de suport, pentru a reduce riscurile asociate vulnerabilităților viitoare.
Da. Asistentul robo_Folks, disponibil în cPanel, te poate ajuta în procesul de schimbare a versiunii PHP.u003cbru003eÎnainte de modificare, verifică dacă aplicația, tema, pluginurile și integrările website-ului sunt compatibile cu versiunea PHP pe care dorești să o utilizezi.
WHM este panoul prin care administrezi toate conturile de hosting de pe un server dintr-un singur loc. Dacă gestionezi mai multe site-uri sau clienți, îți permite să creezi conturi noi, să administrezi resursele, domeniile, backupurile și setările serverului mult mai rapid, fără să intri separat în fiecare cont cPanel. Ce este WHM și la ce […]
Imaginează-ți că internetul este o metropolă uriașă, iar linkurile sunt podurile și străzile care leagă toate clădirile între ele. Fără aceste legături, ai fi blocat într-o singură pagină, fără vreo cale de a explora mai departe. Așa cum ai nevoie de o hartă și drumuri ca să te deplasezi prin oraș, ai nevoie de linkuri […]
PrestaShop sau Magento? – Asta este întrebarea. Se consideră că în România funcționează aproape 40 000 de magazine. Acestea sunt construite pe diferite platforme – în funcție de nevoile fiecărui proprietar. Populare sunt nu doar soluțiile bazate pe abonament, dar și platformele gratuite sau magazinele create pe comandă, bazate pe soluții proprii. Printre ele se […]
Cauți mai departe?