Pe scurt: O mare parte dintre sistemele de gestionare a conținutului (CMS) și sistemele de magazin răspândite sunt scrise în PHP, printre ele WordPress cu WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento respectiv Adobe Commerce și PrestaShop. La acestea se adaugă aplicații interne precum Nextcloud, Moodle, MediaWiki și Matomo. Cine operează unul dintre aceste sisteme este afectat de vulnerabilități din interpretorul PHP precum PHP2Shell, indiferent cât de actual este CMS-ul însuși.
De ce rulează atât de multe site-uri pe PHP
PHP este croit din anii 1990 pentru serverele web și este disponibil la practic orice furnizor de hosting. Un CMS pe bază de PHP poate fi deci operat fără infrastructură proprie de server, ceea ce a fost și este atractiv mai ales pentru întreprinderile mici și mijlocii, asociații și autorități.
Pentru operatori asta înseamnă: site-ul nu este doar „WordPress” sau „Shopware”, ci o stivă din mai multe straturi. Jos rulează sistemul de operare, deasupra serverul web, apoi interpretorul PHP și în vârf CMS-ul cu extensiile lui. Fiecare strat are nevoie de actualizări proprii. O vulnerabilitate din PHP lovește toate sistemele construite pe el.
La acestea se adaugă extensiile: pluginurile, temele, modulele și interfețele magazinului sunt de asemenea cod PHP, adesea de la furnizori mici. Ele rulează cu aceleași drepturi ca CMS-ul și sunt executate de același mediu de execuție PHP. Un CMS cu multe extensii are de aceea o suprafață de atac mai mare decât o instalare suplă, chiar dacă nucleul este actual.
Cifrele despre răspândirea sistemelor individuale le omitem aici. Nu există pentru ele o sursă pe care s-o considerăm de încredere și comparabilă.
CMS-uri și sisteme de magazin răspândite pe bază de PHP
Tabelul menționează sisteme cunoscute și ceea ce spun producătorii înșiși despre baza lor tehnică. Cerințele de versiune nu le menționăm în mod deliberat, pentru că se schimbă cu fiecare lansare.
| Sistem | Tip | Indicație despre baza tehnică |
|---|---|---|
| WordPress, WooCommerce | CMS, extensie de magazin | aplicație PHP, MySQL sau MariaDB conform cerințelor |
| TYPO3 | CMS | necesită, potrivit documentației, server web, PHP și bază de date SQL |
| Joomla | CMS | PHP cu MySQL, MariaDB sau PostgreSQL |
| Drupal | CMS | PHP; extensiile nucleului în core/composer.json |
| Contao | CMS | potrivit producătorului, pe framework-ul Symfony Full-Stack |
| Craft CMS | CMS | producătorul menționează Yii printre instrumentele folosite |
| Shopware 6 | Magazin | documentația pentru dezvoltatori tratează pluginurile ca bundle-uri Symfony |
| Magento Open Source, Adobe Commerce | Magazin | PHP și Composer în cerințele de sistem |
| PrestaShop | Magazin | PHP cu tabel propriu de compatibilitate |
| Nextcloud | Stocare de fișiere | Apache cu mod_php sau PHP-FPM, Nginx cu PHP-FPM |
| Moodle | Platformă de învățare | dezvoltat în PHP, potrivit documentației |
| MediaWiki, Matomo | Wiki, statistici | PHP conform cerințelor de instalare |
Multe dintre aceste sisteme folosesc intern componente din framework-uri PHP și încarcă biblioteci prin Composer. Pentru majoritatea avem pagini proprii cu indicații de securizare, de exemplu WordPress, Shopware 6 și TYPO3.
Cum aflu dacă site-ul meu rulează pe PHP?
Multe companii nu știu exact ce sisteme rulează la ele, mai ales dacă site-ul a fost construit de o agenție. Acești pași aduc claritate:
- Crearea unui inventar: Listați toate domeniile, subdomeniile și interfețele web interne, inclusiv sistemele de test și paginile vechi de campanie.
- Întrebați furnizorul de hosting sau agenția: Ce sistem, ce versiune PHP, ce mod de operare (PHP-FPM, mod_php, LiteSpeed)? Cereți un răspuns în scris.
- Priviți panoul de hosting: În Plesk, cPanel și interfețe similare, versiunea PHP este indicată pentru fiecare site. Rețineți că backporturile distribuției nu schimbă numărul afișat.
- Verificați pe server: Administratorii văd după procese și după configurația serverului web ce mediu de execuție PHP livrează de fapt.
- Nu uitați dispozitivele: Sistemele NAS, routerele și aplicațiile de tip appliance au adesea o interfață web care poate rula tot pe PHP.
# Pe server: ce procese PHP rulează?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Luați în serios cerințele de sistem
Fiecare producător publică cu ce versiuni PHP este testat software-ul său. Aceste informații sunt baza oricărei planificări de actualizare: o actualizare PHP la o versiune pe care CMS-ul nu o suportă încă poate bloca site-ul. Un CMS care rulează doar cu o versiune PHP fără actualizări de securitate este un risc permanent.
Verificați de aceea, conform cerințelor de sistem ale producătorului pentru versiunea dumneavoastră exactă, ce versiuni PHP vin în discuție, și corelați cu versiunile PHP remediate. Pentru sistemele care rulează doar cu PHP 8.1 sau mai vechi, proiectul PHP nu mai oferă actualizări oficiale.
Ce înseamnă PHP2Shell pentru operatorii de CMS și magazine
PHP2Shell constă din vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 din interpretorul PHP, ambele cu CVSS 9,2. Ele permit executarea de cod malițios fără autentificare. Sunt remediate în PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. O actualizare de CMS nu închide aceste vulnerabilități; de ce explică articolul nostru De ce o actualizare WordPress nu ajută împotriva PHP2Shell.
Pentru magazine, acest lucru cântărește deosebit de greu, pentru că acolo se află datele clienților, comenzile și datele de acces către serviciile de plată și de livrare. Un patch nu elimină, în plus, software malițios introdus anterior și nu dovedește că nu s-a întâmplat nimic.
Cum ajută PHP SOS concret?
- Creăm un inventar al site-urilor și aplicațiilor interne bazate pe PHP, cu sistemul, versiunea PHP și modul de operare.
- Corelăm cerințele producătorilor cu versiunile PHP remediate și planificăm actualizarea pentru fiecare sistem.
- Instalăm actualizările PHP, repornim toate procesele și verificăm apoi dacă CMS-ul și magazinul funcționează corect.
- La suspiciunea unui incident investigăm sistemul în cadrul ajutorului imediat PHP2Shell.
Întrebări frecvente
Rulează WordPress pe PHP?
Da. WordPress este o aplicație PHP și, potrivit cerințelor oficiale, are nevoie de PHP și de o bază de date MySQL sau MariaDB. Astfel, vulnerabilitățile din interpretorul PHP afectează orice instalare WordPress, indiferent de starea WordPress însuși.
Ajută o actualizare de CMS împotriva PHP2Shell?
Nu. Vulnerabilitatea se află în PHP, nu în CMS. Potrivit drweb.de, WordPress.org nici nu planifică de aceea o actualizare proprie împotriva ei. Se închide doar printr-o versiune PHP remediată și repornirea tuturor proceselor PHP.
Cum aflu ce versiune PHP are nevoie magazinul meu?
Din cerințele de sistem ale producătorului pentru versiunea dumneavoastră concretă. Aceste informații se schimbă cu fiecare lansare mai mare, de aceea ar trebui să le citiți direct la producător și să nu le preluați din ghiduri mai vechi.
Sunt afectate și aplicațiile interne?
Da, dacă rulează pe PHP. Stocarea de fișiere precum Nextcloud, platformele de învățare precum Moodle, wiki-urile interne cu MediaWiki sau Matomo pentru statistici sunt aplicații PHP. Ele sunt adesea uitate la inventariere.
Nu este PHP un site fără .php în adresă?
Nu neapărat. Sistemele moderne direcționează toate adresele printr-un index.php central, astfel încât în URL nu apare niciodată .php. Sigură este doar o privire pe server sau o informație de la furnizorul de hosting sau de la agenție.