Vulnerabilități critice PHP în octombrie 2026: ce am făcut și ce trebuie să verifici

Ce s-a întâmplat și de ce contează

Pe 21 octombrie 2026, proiectul PHP a lansat versiunile 8.2.35, 8.3.36, 8.4.27 și 8.5.12, care corectează două vulnerabilități critice descoperite în interpretorul PHP însuși: CVE-2026-109618 și CVE-2026-109619. Ambele au primit un scor CVSS v4 de 9.2, cel mai ridicat nivel de risc practic, și advisory-urile oficiale sunt publicate pe GitHub php-src (GHSA-w8hw-w9fx-j79w și GHSA-6wmf-4rv5-p3rp). Un detaliu important: problema nu este în WordPress, WooCommerce, Laravel sau în pluginurile tale. Problema este în PHP însuși. Asta înseamnă că orice site care rulează pe o versiune PHP nepatch-uită este expus, indiferent de aplicație sau de câte actualizări de plugin ai făcut. Detaliile tehnice au apărut public înainte de lansarea oficială, iar rapoartele despre atacuri reale sunt contradictorii în acest moment, dar riscul este considerat ridicat și nu trebuie ignorat.

Ce fac concret cele două vulnerabilități

• CVE-2026-109618 vizează cererile HTTP POST de tip multipart, adică exact tipul de cerere folosit la upload-ul de fișiere. O cerere construită special poate duce PHP la epuizarea memoriei, cu potențial de execuție de cod de la distanță (RCE). Orice formular de contact cu atașament, orice pagină de upload dintr-un magazin online sau aplicație web este un punct de intrare posibil pe versiunile neactualizate.
• CVE-2026-109619 exploatează o stare rămasă în memorie după o eroare fatală sau după epuizarea memoriei. Vectorul principal de exploatare este funcția session upload progress, activă implicit în PHP. Rezultatul posibil este tot RCE. Această funcție este implicată doar în CVE-2026-109619, nu în ambele vulnerabilități.
• PHP 8.1 și versiunile mai vechi (8.0, 7.x, 5.x) nu mai primesc patch-uri de securitate de la proiectul PHP. Dacă site-ul tău rulează pe una dintre aceste versiuni, nu există un patch oficial disponibil și riscul rămâne deschis pe termen nelimitat.

Ce am făcut deja pe serverele MioriticHost

În aceeași zi în care au apărut advisory-urile oficiale, am aplicat pe toate serverele de găzduire o măsură de atenuare imediată pentru toate versiunile PHP active: am dezactivat session.upload_progress și, pe PHP 8.5, am dezactivat și fatal_error_backtraces, conform recomandărilor din advisory-urile oficiale. Singurul efect vizibil pentru utilizatorii finali este că barele de progres la upload bazate pe această funcție nu mai afișează procentul în timp real. Upload-ul în sine funcționează normal. Această atenuare acoperă calea de exploatare prin session upload progress, adică CVE-2026-109619. Nu acoperă CVE-2026-109618 și nu înlocuiește patch-ul complet. De aceea, instalăm pachetele PHP corectate imediat ce cPanel și CloudLinux le publică, fără să așteptăm fereastra de actualizare automată de noapte. Nu trebuie să faci nimic pentru aceste două măsuri, ele sunt deja active. Nu spunem că ești 100% protejat, dar am redus semnificativ suprafața de atac disponibilă până la aplicarea patch-ului complet.

Atenuarea dezactivează session.upload_progress conform recomandării oficiale și reduce riscul pentru CVE-2026-109619. Patch-ul complet, care acoperă și CVE-2026-109618, se instalează imediat ce devine disponibil prin cPanel și CloudLinux.

Ce poți face tu acum pentru site-ul tău

Măsurile de mai jos sunt concrete și le poți face chiar azi din cPanel:

• Verifică versiunea PHP a site-ului tău. Intră în cPanel, deschide MultiPHP Manager sau Select PHP Version și uită-te ce versiune rulează. Dacă este 8.1 sau mai veche, ești pe o versiune fără suport de securitate activ.
• Treci pe PHP 8.3 sau 8.4. Înainte de orice schimbare, fă un backup complet din JetBackup. Actualizează WordPress, temele și pluginurile (sau framework-ul aplicației tale) la ultimele versiuni, ca să reduci riscul de incompatibilități. Schimbă versiunea PHP din același meniu, salvează și verifică site-ul: pagini, formulare, coș de cumpărături dacă ai magazin online. Poți reveni oricând la versiunea anterioară din același meniu, dacă apare o problemă.
• Dacă ai formulare de upload, testează-le după schimbarea versiunii PHP. Upload-ul funcționează normal, dar merită verificat explicit în contextul aplicației tale.
• Dacă ceva nu merge după schimbarea versiunii PHP, deschide un tichet de suport și te ajutăm să identificăm problema. Nu lăsa site-ul blocat fără să ne contactezi.
• Păstrează backup-uri recente. JetBackup din cPanel îți permite să configurezi backup-uri zilnice. Într-un scenariu de incident de securitate, un backup recent este cel mai rapid punct de recuperare.

Dacă ai întrebări despre versiunea PHP potrivită pentru aplicația ta sau despre compatibilitatea cu un plugin specific, scrie-ne un tichet și verificăm împreună înainte să faci schimbarea.