PHP2Shell: site-ul firmei tale e în pericol? Ce ceri azi de la IT

Informații valabile la 21 octombrie 2026 seara. Situația evoluează rapid.

Ce s-a întâmplat

PHP este limbajul pe care funcționează o mare parte din site-urile și magazinele online din lume, inclusiv toate site-urile făcute pe WordPress. Pe 21 octombrie 2026 au fost publicate corecturi urgente pentru două probleme grave de securitate din PHP, numite pe scurt „PHP2Shell”. Prin ele, un atacator poate prelua controlul serverului fără nicio parolă, doar trimițând cereri către site.

Detaliile au ajuns pe internet înainte de data planificată, au fost deja observate încercări de atac, iar specialiștii se așteaptă ca, în zilele următoare, metoda de atac să devină publică și ușor de folosit de oricine.

Pe cine afectează

Ești probabil vizat dacă firma ta are oricare dintre acestea:

• site-ul de prezentare al firmei, mai ales dacă e făcut pe WordPress, Joomla sau Drupal;
• un magazin online (de exemplu pe WooCommerce, Magento sau PrestaShop);
• aplicații interne făcute în PHP: portaluri pentru clienți, intranet, formulare, aplicații dezvoltate la comandă;
• găzduire pe hosting partajat, unde actualizarea depinde de firma de hosting;
• echipamente sau programe cumpărate care au o interfață web (de exemplu paneluri de administrare), pentru că unele includ PHP fără să scrie asta pe cutie.

Nu contează cât de bine e făcut site-ul sau dacă pluginurile sunt la zi: problema e în „motorul” de dedesubt, nu în site.

Ce ceri azi de la IT sau de la furnizor

Nu trebuie să rezolvi tu problema tehnică, dar e important să pui întrebările potrivite și să primești răspunsuri clare, în scris:

1. „Ce versiune de PHP avem pe fiecare site și aplicație?”
2. „E actualizată la 8.2.35, 8.3.36, 8.4.27 sau 8.5.12 (ori la varianta corectată de furnizor)?” Dacă răspunsul e „nu știu” sau „o versiune mai veche”, e urgent.
3. „Site-ul e în spatele unui WAF (un filtru de protecție pentru trafic web)?” Nu înlocuiește actualizarea, dar poate opri o parte din atacuri până atunci.
4. „Cine se ocupă și până când?” Cere un nume și o oră, nu „cât de curând”.
5. „Avem backup recent, verificat, păstrat separat de server?” Dacă ceva merge prost, backup-ul e plasa de siguranță.

Dacă actualizarea nu se poate face imediat, întreabă dacă site-ul poate fi pus temporar în mentenanță sau ascuns de internet până e rezolvat. Câteva ore de site oprit costă de obicei mult mai puțin decât un server compromis.

Ce se întâmplă dacă nu faci nimic

Atacatorii caută automat, pe tot internetul, serverele rămase neactualizate. Un server preluat poate însemna:

• furtul datelor clienților și al parolelor stocate pe server;
• site modificat, folosit pentru înșelătorii sau pentru a infecta vizitatorii;
• magazin online oprit sau comenzi compromise;
• punct de intrare către restul rețelei firmei, inclusiv spre ransomware;
• costuri de recuperare, pierderi de imagine și, dacă sunt implicate date personale, obligații de raportare conform GDPR.

Chiar dacă serverul e actualizat mai târziu, un atacator care a intrat între timp poate rămâne în sistem. De aceea, dacă au trecut câteva zile până la actualizare, cere și o verificare a semnelor de compromitere.

Legătura cu NIS2

Dacă firma ta este entitate esențială sau importantă conform OUG 155/2024, care transpune Directiva NIS2 în România, un incident de acest tip, cu impact semnificativ, se raportează la DNSC: o primă notificare în 24 de ore de la constatare și o notificare mai completă în 72 de ore. Asigură-te de acum că știi cine face raportarea și că IT-ul te anunță imediat dacă găsește ceva suspect.

Pentru echipa IT

Detaliile tehnice, sistemele afectate, măsurile temporare și pașii de verificare sunt în articolul tehnic: PHP2Shell: remediere pentru echipele IT

---

Dacă nu știi câte sisteme PHP ai expuse, un inventar rapid al suprafeței de atac e primul pas; ClearSecurity poate ajuta cu asta.