Două vulnerabilități critice descoperite recent în limbajul de programare PHP sunt deja utilizate de hackeri pentru a efectua atacuri cibernetice. Agenția americană de securitate CISA a inclus aceste breșe pe lista vulnerabilităților exploatate efectiv la data de 26 octombrie. Această situație reprezintă un risc major pentru proprietarii de magazine online, având în vedere că PHP este tehnologia de bază pentru platforme precum WordPress, WooCommerce, PrestaShop sau OpenCart, utilizate pe scară largă de firmele mici.
Defectele de securitate, identificate sub codurile CVE-2026-109618 și CVE-2026-109619, au o notă de gravitate de 9,2 din 10. Acestea permit, în anumite condiții, rularea de cod pe server fără necesitatea unei parole. Echipa PHP a lansat versiunile reparate 8.5.12, 8.4.27, 8.3.36 și 8.2.35 pentru a remedia problema. Riscul este extrem de ridicat pentru serverele care utilizează Apache și mod_php, deoarece nicio setare suplimentară nu poate înlocui necesitatea unei actualizări de sistem.
Pentru a asigura securitatea, proprietarii de site-uri trebuie să contacteze imediat furnizorul de hosting și să solicite o confirmare scrisă a actualizării PHP. Este esențial să se verifice dacă versiunea instalată pe server corespunde celor recomandate, de exemplu 8.5.12 pentru seria 8.5. În cazul în care magazinul online funcționează pe platforme cu abonament, precum Shopify, Gomag sau MerchantPro, responsabilitatea actualizărilor revine, de regulă, furnizorului de platformă.
Directoratul Național de Securitate Cibernetică (DNSC) avertizează că orice server PHP neactualizat și expus pe internet trebuie considerat un risc ridicat de compromitere. Un astfel de atac poate duce la furtul datelor clienților sau la modificarea paginilor de plată. În contextul perioadei de Black Friday, incidentele pot cauza pierderi financiare semnificative prin oprirea vânzărilor. Conform datelor de la Palo Alto Networks, peste 22,6 milioane de instalări PHP accesibile online ar putea fi vulnerabile.
Din punct de vedere legal, în cazul în care datele clienților sunt compromise, conform regulamentului GDPR, firma trebuie să anunțe autoritatea ANSPDCP în maximum 72 de ore. Nerespectarea acestor obligații poate atrage amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri mondială. De asemenea, conform Legii 58/2023, responsabilitatea pentru securitatea unui sistem aparține celui care îl deține, îl administrează sau îl utilizează, indiferent de mărimea afacerii.
PHP este un limbaj de programare esențial pentru infrastructura web globală, fiind utilizat de aproximativ 69,2% dintre site-urile care permit identificarea tehnologiei. Deoarece PHP rulează pe serverul furnizorului de hosting pentru a construi paginile la fiecare vizită, securitatea acestuia depinde de menținerea versiunilor actualizate. Versiunile vechi, precum PHP 8.1 sau PHP 7, nu mai primesc reparații oficiale, ceea ce obligă utilizatorii la migrarea către versiuni suportate.