32,5 milioane de servere PHP rămân vulnerabile la o săptămână de la dezvăluirea PHP2Shell

La o săptămână de la publicarea celor două vulnerabilități critice cunoscute sub numele de PHP2Shell, doar un sfert din serviciile PHP care își raportează versiunea au fost actualizate. Datele Censys arată că 32,5 milioane de servicii rulează în continuare versiuni expuse, în timp ce doar 11,2 milioane au primit patch-ul. Peste 60 de milioane de instalații nu-și dezvăluie versiunea, ceea ce face ca numărul real al sistemelor vulnerabile să fie, probabil, mult mai mare.

Agenția americană de securitate cibernetică CISA a confirmat că cele două vulnerabilități sunt exploatate activ și le-a introdus în catalogul său de vulnerabilități cunoscute exploatate, cerând agențiilor federale să aplice măsurile de remediere.

Unde se concentrează expunerea

Statele Unite găzduiesc cele mai multe servicii PHP vulnerabile din lume, 10,3 milioane, alături de 3,2 milioane deja patchuite și peste 20 de milioane cu versiune necunoscută. Germania urmează cu peste 4 milioane de servicii vulnerabile, iar Franța cu peste 2 milioane.

Ritmul de actualizare a avut un vârf scurt pe 22 și 23 octombrie, când aproximativ 4,3 milioane de servicii au fost patchuite în fiecare din aceste două zile, după care a scăzut brusc. Censys avertizează că datele au limitări reale: sunt instantanee zilnice, pot întârzia ore întregi, se bazează pe versiuni auto-raportate (adesea inexacte, pentru că multe distribuții Linux aplică patch-uri fără să modifice numărul versiunii afișate) și numără servicii, nu instanțe individuale de PHP, un singur server putând rula mai multe instanțe pe porturi diferite.

PHP este motorul care stă în spatele a aproximativ 70% din site-urile web existente. Interpretorul PHP rulează pe server și generează paginile HTML executând cod pe partea de server. Cele două vulnerabilități descoperite în nucleul PHP, catalogate CVE-2026-109618 și CVE-2026-109619, au primit un scor de severitate de 9,2 din 10. Prin cereri de upload special construite, un atacator poate provoca erori de memorie care duc la execuție de cod la distanță, fără a avea nevoie de privilegii sau autentificare. Descoperirea a determinat închiderea temporară a unor servicii, inclusiv Wikipedia, Internet Archive și unele site-uri guvernamentale.

Exploatare înainte de dezvăluirea publică

Echipa de threat intelligence a Amazon a raportat că primele tentative de exploatare au precedat anunțul public al vulnerabilităților. Honeypot-urile AWS au înregistrat încercări de exploatare pe 17 octombrie, cu patru zile înainte ca embargo-ul informațional să fie ridicat. Adresa IP a atacatorului provenea dintr-o rețea comercială de anonimizare, iar AWS Security Blog a remarcat că rămâne neclar cum a obținut actorul informații despre exploit înainte de divulgare.

În ziua lansării publice, Amazon a detectat mai multe exploit-uri proof-of-concept și tentative de atac, cu payload-uri și infrastructură de anonimizare diferite, un semn că sunt implicați mai mulți actori distincți, nu un singur grup.

Unit 42, echipa de cercetare a Palo Alto Networks, a raportat inițial că un guvern european fusese compromis prin exploatarea PHP2Shell, însă ulterior a retras afirmația, precizând că nu poate confirma legătura dintre accesul inițial și această vulnerabilitate specifică. Separat, CYFIRMA a semnalat săptămâna trecută campanii de scanare de volum redus îndreptate spre infrastructura PHP globală, cu suspiciuni că ar proveni din Coreea de Nord. Pentru a ilustra cât de rapid poate fi exploatată practic breșa, un cercetător în securitate a creat un site deliberat vulnerabil, numit „Steal My Bitcoin”, cu un premiu de 2.000 de dolari pentru cine reușește să-l compromită folosind bug-urile PHP. Site-ul a căzut în mai puțin de 24 de ore.

Ce trebuie să facă administratorii, nu doar să aplice patch-ul

CISA atrage atenția că prezența PHP pe un sistem nu este întotdeauna vizibilă direct, pentru că este adesea o componentă ascunsă în interiorul altor aplicații software. De aceea, prima măsură recomandată nu este patch-ul în sine, ci inventarierea: organizațiile trebuie să identifice toate sistemele care rulează orice versiune de PHP, inclusiv cele instalate indirect, prin alte produse.

Conform avertismentului CISA, vulnerabilitățile afectează toate instalațiile PHP care servesc cereri web, inclusiv configurațiile Apache cu mod_php, PHP-FPM, php-cgi, FrankenPHP și LiteSpeed. Versiunile recomandate pentru remediere sunt PHP 8.5.12, 8.4.27, 8.3.36 sau 8.2.35.

O complicație suplimentară vine din faptul că multe servere web rulează încă versiuni PHP din seria 5.4 până la 7.3, ieșite din suport (end-of-life) și care nu vor mai primi niciodată patch-uri de securitate. Pentru aceste sisteme, singura soluție este migrarea către o ramură de PHP încă întreținută, nu aplicarea unui patch punctual.

Pentru administratorii ale căror servere au rămas expuse întreaga săptămână de la dezvăluire, Censys recomandă și o verificare retroactivă de compromitere: analiza jurnalelor de acces ale serverului web și inspectarea directorului de stocare a sesiunilor PHP pentru fișiere neașteptate, care ar putea indica o exploatare reușită înainte de patching.

Pentru organizațiile din România care operează infrastructură web, mai ales cele din sectoarele reglementate de OUG 155/2024, acest episod ilustrează o problemă structurală des întâlnită în practica de conformitate: componentele software terțe, instalate indirect prin alte aplicații, scapă frecvent inventarelor oficiale de active IT. O cerință de bază a managementului riscurilor în materie de securitate cibernetică presupune tocmai identificarea completă a lanțului de dependențe software, nu doar a aplicațiilor instalate direct și vizibile în sistemul de gestiune a configurațiilor.