Miercuri, o tehnologie web open-source veche de decenii numită PHP aproape a spart internetul, din cauza a două vulnerabilități care au stat latente ani de zile până când cercetătorii au descoperit recent o modalitate de a le exploata. Bugurile sunt botezate PHP2Shell, desemnate oficial ca CVE-2026-109618 și CVE-2026-109619. Pe scurt, bugurile permit oricui știe să le exploateze să intre într-un sistem online care rulează PHP, cum ar fi un site web sau un server conectat la internet, fără a avea nevoie de o parolă pentru a accesa sau modifica datele acestuia. Ca situație, a fost una destul de mare, forțând milioane de oameni din întreaga lume să se grăbească să-și patch-uiască sistemele înainte ca hackerii rău-intenționați să le poată abuza.

Fundația PHP, care întreține software-ul web PHP, a lansat public patch-uri miercuri care au rezolvat bugurile, iar odată instalate, acestea împiedică serverele conectate la internet să fie atacate. Fundația oferise deja un avans unor dintre cele mai mari companii de internet și găzduitori web care se bazează pe PHP pentru a aplica patch-urile. Datorită săptămânilor de discuții în culise și coordonării atente în întreaga industrie, lumea - până acum - a evitat în mare măsură exploatarea masivă pe internet. De miercuri, guvernele au început să îndemne cetățenii și companiile cu site-uri web să ia măsuri pentru a atenua riscurile la nivelul lor. O gamă largă de industrii și-au închis site-urile și au scos serviciile offline pentru a-și patch-ui sistemele. Bănci, retaileri, site-uri de jocuri, magazine online, spitale și unele agenții guvernamentale și-au scos serverele din funcțiune pentru a preveni atacurile. Dar cercetătorii în securitate avertizează că situația nu s-a încheiat încă și că un număr mare de sisteme din întreaga lume rămân nepatch-uite și vulnerabile la hack-uri și furt de date. De asemenea, este puțin probabil ca acesta să fie ultimul mare incident de securitate al unui software de internet, unii așteptându-se ca apariția AI să descopere rapid vulnerabilități încă nedescoperite care așteaptă să fie găsite și abuzate.

Cercetătorii în securitate de la Calif au găsit două buguri în PHP, un limbaj de programare utilizat pe scară largă în întreaga lume pentru construirea de site-uri web și aplicații web, atât pe internet, cât și găzduite local pe rețelele companiilor, cum ar fi intranet-uri și site-uri interne. PHP este open-source, ceea ce înseamnă că este gratuit și disponibil pentru a fi utilizat de oricine pentru aproape orice motiv. Ca atare, a devenit unul dintre cele mai populare și utilizate limbaje de programare web de pe web astăzi. Cele două buguri au fost descoperite pentru prima dată în 2024, dar nu au fost considerate exploatabile la acea vreme și nu au fost patch-uite. Cercetătorii în securitate au găsit recent o modalitate de a le exploata, ceea ce i-a determinat să alerteze creatorii software-ului pentru a le remedia. Calif a alertat Fundația PHP, care a început o perioadă de remediere a bugurilor și de divulgare coordonată. Fundația a făcut acest lucru oferind informațiile și patch-urile despre problemele de securitate sub un embargo strict - practic păstrate confidențial până la un termen limită specific - pentru a oferi marilor companii o oportunitate de a fi cu un pas înainte în instalarea remedierilor.

PHP2Shell este destul de grav pentru că poate fi abuzat de la distanță prin internet și fără ca victima să trebuiască să dea click pe un link sau să deschidă un fișier. Acesta este cunoscut sub numele de execuție de cod la distanță și este unul dintre cele mai dăunătoare tipuri de buguri de exploatat, deoarece poate acorda unui hacker aflat oriunde în lume control efectiv deplin asupra unui sistem afectat și nepatch-uit. Mai rău, aceste buguri specifice PHP fac posibilă intrarea în orice sistem nepatch-uit de pe internet fără a avea nevoie de o parolă sau orice altă acreditare prin internet, cunoscut sub numele de acces neautentificat. Acest lucru ar permite unui hacker rău-intenționat să planteze apoi malware pe computer, cum ar fi pentru a fura date sau pur și simplu pentru a menține o poziție pe termen lung la care să revină mai târziu.

Bugurile sunt deosebit de riscante pentru că PHP este un software extrem de popular, în parte pentru că este gratuit și relativ ușor de utilizat, dar și pentru că există de zeci de ani. Aproximativ 70% din internetul conectat la internet se bazează pe PHP, deși utilizarea sa a scăzut încet de-a lungul anilor în favoarea unor limbaje mai noi.