Două vulnerabilități critice identificate în limbajul de programare PHP, înregistrate sub codurile CVE-2026-109618 și CVE-2026-109619, au declanșat o alertă globală de securitate în această săptămână. Problema a devenit urgentă după ce informațiile despre erori au fost făcute publice pe 20 octombrie, determinând echipa PHP să lanseze actualizări de urgență pe 21 octombrie, cu o zi înainte de termenul planificat. Autoritățile de securitate din Europa au solicitat organizațiilor să își actualizeze imediat sistemele pentru a preveni exploatările.
Erorile de securitate sunt prezente în PHP de peste zece ani, semnalele fiind observate încă din 2020 prin rapoarte de bug-uri. În timpul primului audit extern de securitate al PHP desfășurat în 2024, un dezvoltator din echipa de bază a identificat primele semne ale acestor vulnerabilități, însă PHP Foundation a amânat aplicarea patch-ului deoarece nu exista o cale concretă de exploatare. În august, companii precum Wiz, Google, OpenAI și Calif au descoperit aceste probleme folosind inteligența artificială, menținând informațiile confidențiale până la pregătirea actualizărilor.
CERT-EU a evaluat ambele vulnerabilități cu un scor de 9,2 conform sistemului CVSS, indicând un risc extrem de ridicat. În anumite condiții, atacatorii pot rula cod pe server de la distanță, fără a avea nevoie de autentificare, și pot accesa informații sensibile din memoria serverului, precum parole, chei API sau certificate. Impactul este masiv, deoarece PHP este utilizat de 69,3% dintre site-urile care folosesc un limbaj server-side cunoscut, conform datelor de la W3Techs.
Riscul pentru companii include expunerea datelor clienților, oprirea serviciilor și accesul neautorizat la sistemele conectate, chiar dacă codul propriu al aplicației este scris corect. Amazon Threat Intelligence a raportat o primă tentativă de exploatare pe 17 octombrie, cu patru zile înainte de anunțul oficial. Deși Sansec a estimat că o exploatare în masă este mai puțin probabilă din cauza necesității unor configurații specifice, companii precum watchTowr au raportat tentative active de atac.
Reacția organizațiilor a fost variată, Wikimedia Foundation scăzând temporar anumite sisteme din funcțiune, în timp ce în România, DNSC a emis o alertă oficială. Actualizările de securitate sunt disponibile pentru versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35, însă versiunile mai vechi, precum PHP 7.4 sau 8.0, au primit doar suport minim. Expertul Marius Bălteanu, CIO Zitec, subliniază că sistemele care rulează versiuni vechi au nevoie de un plan clar de migrare sau de măsuri preventive suplimentare.
Securitatea ecosistemului software rămâne o provocare constantă, având în vedere și alte incidente recente, precum compromiterea unor certificate private sau vulnerabilitățile din GitLab. În contextul tehnologic actual, viteza de răspuns la amenințări este influențată direct de nivelul de automatizare al infrastructurii. Organizațiile care își mențin stack-ul tehnologic actualizat și utilizează procese de prevenție și reacție rapide sunt cele care pot minimiza impactul acestor vulnerabilități critice.