Pe scurt: BSI (Oficiul Federal German pentru Securitatea Informațiilor) a declarat pentru PHP2Shell nivelul de avertizare 3 (portocaliu). Recomandarea este clară: actualizați PHP imediat și, dacă acest lucru nu este imediat posibil, scoateți temporar din rețea serverele web afectate. BSI se aștepta la o exploatare rapidă, pe scară largă; atacuri reușite confirmate la scară largă nu erau cunoscute inițial.
Avertismentul BSI privind PHP, pe scurt
Bundesamt für Sicherheit in der Informationstechnik (BSI) este autoritatea centrală de specialitate pentru securitate cibernetică din Germania. Pentru PHP2Shell a publicat un avertisment de nivel 3 (portocaliu). Motivul sunt două vulnerabilități critice în PHP însuși: CVE-2026-109618 și CVE-2026-109619, ambele evaluate cu CVSS v4.0 9.2. Ele permit atacatorilor să execute cod malițios pe server fără autentificare.
Afirmațiile esențiale ale avertismentului pot fi rezumate astfel:
| Afirmație | Semnificație pentru operatori |
|---|---|
| Nivel de avertizare 3 / portocaliu | situație serioasă, este necesară acțiunea |
| Se recomandă actualizarea imediată | instalați versiunile PHP remediate |
| Altfel, scoatere temporară din rețea | subordonați accesibilitatea protecției |
| Se așteaptă exploatare rapidă, pe scară largă | nu așteptați primele raportări de daune |
| Atacuri reușite la scară largă neconfirmate inițial | nu este un motiv de liniștire |
Versiunea actuală în vigoare o găsiți pe site-ul BSI.
Ce înseamnă practic „actualizați imediat”
Proiectul PHP a publicat versiunile remediate pe 21.10.2026, la ora 14:00 UTC (ora 16:00 în Germania): PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Pentru PHP 8.1 și mai vechi nu mai există actualizări oficiale, ci doar backporturi minime la nivel de sursă pentru 7.4, 8.0 și 8.1.
O actualizare este eficientă abia când toate procesele PHP au fost repornite. Fișierele noi singure nu sunt suficiente cât timp workeri vechi rulează în memorie. În plus, se aplică: distribuțiile și hosterii instalează uneori corecțiile ca backport. Atunci, de exemplu, Plesk continuă să afișeze 8.2.34, deși actualizarea a fost făcută. Decisive sunt starea pachetelor și confirmarea furnizorului. Iar o actualizare de CMS, de exemplu WordPress, nu închide vulnerabilitatea PHP.
Dacă o actualizare nu este imediat posibilă
Pentru acest caz, BSI recomandă scoaterea temporară din rețea a serverelor web. Este o măsură dură, dar clară. Pentru multe companii, o întrerupere planificată de câteva ore este mai puțin dăunătoare decât o intruziune cu scurgere de date.
php.net indică în plus măsuri provizorii care reduc riscul, dar în mod explicit nu oferă o protecție completă. Printre ele se numără session.upload_progress.enabled=0 în configurația serverului, valori limitate pentru post_max_size, limite de memorie prin containere sau cgroups și, pe PHP 8.5, fatal_error_backtraces=0, fiecare cu repornirea ulterioară a tuturor workerilor. Detalii găsiți la Măsuri imediate fără patch.
Dacă un server web accesibil public rulează încă cu PHP neactualizat și fără măsuri provizorii, din recomandarea BSI rezultă: scoateți serverul din rețea până când actualizarea este instalată și toate procesele au fost repornite.
Încadrarea situației
BSI nu este singur în evaluarea sa. Cloudflare a raportat tentative de atac observate și a lansat reguli de protecție, dar avertizează că regulile bazate doar pe datele cererii nu sunt suficiente. Palo Alto Networks (Unit 42) a numărat peste 22,6 milioane de instanțe expuse, potențial vulnerabile. Potrivit rapoartelor din presă, o primă tentativă de atac a fost observată încă la 17.10.2026, deci înainte de publicarea patchurilor.
Pentru operatori rezultă de aici o evaluare sobră: cine nu a actualizat până astăzi ar trebui nu doar să actualizeze, ci și să verifice dacă s-a întâmplat deja ceva. Un patch nu elimină programele malițioase introduse. Nu există indicatori de compromitere (IoC) publicați și confirmați; detectarea se bazează pe analiza comportamentului. Presa de specialitate sfătuiește păstrarea jurnalelor serverului începând cu 20.10.2026. Indicații pentru căutare găsiți la Am fost deja compromis?.
Ce înseamnă recomandarea pentru factorii de răspundere
Un avertisment BSI nu este o lege. Este însă evaluarea autorității de specialitate competente și poate juca un rol la evaluarea ulterioară a deciziilor, de exemplu de către asigurători sau auditori. Conducerile ar trebui de aceea să documenteze când au aflat de avertisment, cum și-au evaluat propriile sisteme și ce măsuri au luat. Indicații generale în acest sens găsiți la Răspunderea conducerii; aceasta nu este consultanță juridică.
În practică se recomandă să nu citiți avertismentul doar o dată. BSI își actualizează anunțurile când situația se schimbă, de exemplu la noi constatări privind exploatarea sau la alte vulnerabilități. Din 23.10.2026 există în plus o indicație de la php.net privind CVE-2026-115560, care privește doar configurații neobișnuite și care este atenuată, de asemenea, cu session.upload_progress.enabled=0. Desemnați o persoană care verifică zilnic BSI și php.net până la încheierea situației și transmite modificările către tehnică și conducere. Astfel nu apare un decalaj de cunoștințe între cei care decid și cei care implementează.
Cum ajută PHP SOS concret?
- Comparăm serverele dumneavoastră web cu recomandarea BSI: versiune, starea pachetelor, repornire, accesibilitate.
- În cadrul asistenței imediate PHP2Shell actualizăm, repornim toate procesele și furnizăm o dovadă.
- Acolo unde o actualizare nu este imediat posibilă, setăm măsuri provizorii și, la nevoie, punem la dispoziție o pagină statică de înlocuire.
- Salvăm jurnalele și căutăm urme, pentru ca după patch să puteți evalua solid situația.
Întrebări frecvente
Ce înseamnă nivelul de avertizare 3 (portocaliu) la BSI?
Culoarea descrie o situație de amenințare ridicată, serioasă, care cere acțiune. La PHP2Shell, BSI motivează aceasta prin gravitatea vulnerabilităților și prin exploatarea rapidă așteptată. Definiția exactă a nivelurilor o găsiți pe site-ul BSI.
Trebuie să urmez recomandarea BSI?
Un avertisment al BSI este o recomandare, nu o lege. Este însă o evaluare importantă a autorității de specialitate competente, după care se pot orienta asigurătorii, auditorii și instanțele. Cine se abate ar trebui să documenteze motivele. Aceasta nu este consultanță juridică.
Au existat deja atacuri reușite, potrivit BSI?
Atacuri reușite confirmate la scară largă nu erau cunoscute inițial, potrivit BSI. BSI se aștepta însă la o exploatare rapidă, pe scară largă. Alte instituții au raportat deja tentative de atac.
Unde găsesc versiunea actuală a avertismentului?
Pe site-ul BSI, la avertismentele de securitate actuale. Situația se poate schimba; verificați acolo și pe php.net, în mod regulat, cea mai recentă stare.