PHP repară două vulnerabilități critice în toate versiunile suportate
PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35 repară două breșe prin care un atacator poate rula cod pe server fără autentificare. PHP 8.1 și mai vechi rămân expuse.
Pe 21 octombrie 2026, proiectul PHP a lansat PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Acestea repară două vulnerabilități critice, CVE-2026-109618 și CVE-2026-109619, prin care un atacator își poate rula propriul cod pe un server web fără să se autentifice. Ambele au scorul 9,2 din 10 (CVSS 4.0). Proiectul PHP le cere tuturor utilizatorilor să actualizeze imediat.
Cine este afectat
Orice instalare PHP care servește pagini web: PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Riscul cel mai mare îl are Apache cu mod_php. Proiectul PHP a văzut acolo un atac funcțional în care o singură cerere e de ajuns, înainte să ruleze vreo linie din codul site-ului.
WordPress, Joomla, Drupal și Magento rulează toate pe PHP, deci un site construit cu oricare dintre ele este afectat până când PHP-ul de dedesubt e actualizat. La fel și un site scris de mână în PHP.
Ce versiuni primesc remediere
| Versiunea PHP | Reparată în | Actualizări de securitate până la |
|---|---|---|
| 8.5 | 8.5.12 | 31 decembrie 2029 |
| 8.4 | 8.4.27 | 31 decembrie 2028 |
| 8.3 | 8.3.36 | 31 decembrie 2027 |
| 8.2 | 8.2.35 | 31 decembrie 2026 |
| 8.1 și mai vechi | Nicio versiune nouă | Încheiate |
PHP 8.1 și versiunile mai vechi nu mai primesc versiuni noi. Pentru 7.4, 8.0 și 8.1, proiectul PHP a publicat doar corecturi minime de cod sursă, pe care o firmă de găzduire sau o distribuție Linux le poate aplica sau nu. Chiar și PHP 8.2 ajunge la sfârșitul vieții pe 31 decembrie 2026 și nu mai primește actualizări de securitate după aceea, așa că un site pe 8.2 ar trebui să-și planifice de acum trecerea la 8.3 sau mai nou.
Ce ai de făcut
Actualizarea PHP este singura remediere reală. Setările pe care proiectul PHP le dă ca măsuri de atenuare reduc riscul, dar, în cuvintele lui, nu fac o instalare sigură.
- Află ce versiune de PHP rulează site-ul tău. De obicei apare în panoul de control al găzduirii, sub un nume ca „Versiune PHP”. Ți-o poate spune și dezvoltatorul sau firma de găzduire.
- Dacă e mai veche decât 8.5.12, 8.4.27, 8.3.36 sau 8.2.35, treci pe una dintre acestea sau pe una mai nouă, ori întreabă firma de găzduire când o face. Dacă ai propriul server, actualizează pachetul PHP din distribuție sau de pe php.net.
- Dacă site-ul merge doar pe PHP 8.1 sau mai vechi, codul lui trebuie actualizat înainte să poată trece pe o versiune suportată. Acum e momentul să planifici asta.
- După actualizare, verifică ce contează cel mai mult: pagina principală, formularele, coșul de cumpărături și autentificarea în administrare.
Cum te putem ajuta
Site-urile noastre sunt fișiere statice și nu rulează PHP, deci nu sunt afectate. Dacă nu știi sigur cum stă site-ul tău, cere-ne o evaluare gratuită. Ne uităm doar la ce vede oricine din afară, de exemplu versiunile de software pe care le arată site-ul, și îți trimitem un raport scris în trei zile lucrătoare. Dacă site-ul are nevoie de mai mult decât o actualizare, îl putem muta pe o versiune suportată sau îl putem reface ca site static rapid, cu Python doar acolo unde trebuie să ruleze ceva.
Surse: știrile php.net, 21 octombrie 2026 și versiunile PHP suportate (în engleză).