Vulnerabilitatea PHP2Shell: ce faci acum dacă ai site pe WordPress sau WooCommerce

Ce este PHP2Shell și de ce e grav?

PHP este limbajul de programare pe care rulează serverul în spatele majorității site-urilor: WordPress, WooCommerce, Magento, Joomla, Drupal și multe aplicații făcute pe Laravel. Vizitatorii nu îl văd, dar fiecare pagină a site-ului tău trece prin el.

Pe 21 octombrie 2026, echipa PHP a lansat versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35, care repară două vulnerabilități notate CVE-2026-109618 și CVE-2026-109619. Ambele au primit scorul 9,2 din 10 (CVSS v4.0) și pot permite „executarea de cod de la distanță fără autentificare”. Pe românește: cineva din afară poate trimite o cerere specială către site și poate rula propriile comenzi pe server, fără cont și fără parolă.

De aici poate urma orice: pagini de spam injectate în site, redirecționări către alte site-uri, furt de date ale clienților sau citirea parolelor și cheilor API din memoria serverului.

Câteva detalii care arată cât de serioasă e situația:

• Vulnerabilitățile au fost găsite de cercetători de la Wiz, Calif și OpenAI, iar codul afectat exista în PHP de peste un deceniu, potrivit The Hacker News.
• Detaliile au scăpat public pe 20 octombrie, așa că echipa PHP a lansat reparația cu o zi mai devreme decât plănuise.
• Cloudflare a raportat primele încercări de atac încă înainte de lansarea reparației. Până la data scrierii, nicio sursă nu a confirmat un server compromis.
• Echipa PHP spune clar: „nu există măsuri complete de protecție, actualizarea este singura variantă sigură”.

Site-ul meu e afectat?

Pe scurt: dacă site-ul rulează pe PHP, da, până la actualizare. Problema e în PHP, nu în tema sau în pluginurile tale, și apare indiferent cum e configurat serverul (PHP-FPM, Apache cu mod_php, LiteSpeed și altele). Cel mai mare risc îl au serverele cu Apache și mod_php, unde atacul poate porni înainte să ruleze orice cod al site-ului.

Mai e o problemă: multe site-uri rulează pe versiuni vechi de PHP. Potrivit Bitsight, doar aproximativ o treime din serverele PHP pe care le-au putut identifica rulează o versiune care primește această reparație (8.2–8.5). Cea mai răspândită versiune este, „de departe”, PHP 7.4, care nu mai primește actualizări oficiale.

Cum verifici ce versiune de PHP are site-ul?

Durează câteva minute:

1. Din WordPress: intră în panou → Unelte → Sănătate site → fila Informații → secțiunea Server. Vezi acolo „Versiune PHP”.
2. Din panoul de hosting: în cPanel caută „MultiPHP Manager” sau „Select PHP Version”. În alte panouri, opțiunea apare de obicei la setările PHP ale domeniului.
3. Compară cu versiunile reparate: 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 (sau mai noi pe aceeași ramură).

Atenție la un detaliu: unele servere Linux (de exemplu cele cu Debian) primesc reparația fără să-și schimbe numărul versiunii. Dacă vezi, de exemplu, 8.2.x mai mic de 8.2.35, nu înseamnă automat că ești neprotejat. Întreabă firma de hosting.

Ce faci în funcție de versiune

Ești pe PHP 8.2, 8.3, 8.4 sau 8.5: cere firmei de hosting confirmarea că a instalat actualizarea din 21 octombrie. Pe hostingurile administrate, de obicei o fac ei. Pe un server VPS administrat de tine sau de un freelancer, cineva trebuie să o facă manual și să repornească PHP.

Ești pe PHP 8.1, 8.0, 7.4 sau mai vechi: aceste versiuni nu mai primesc reparații oficiale. Există corecturi minime publicate de echipa PHP și unele firme de hosting oferă variante proprii, dar soluția pe termen lung e trecerea pe o versiune nouă. WordPress recomandă oficial PHP 8.3 sau mai nou. Atenție: un site vechi poate avea pluginuri sau teme care nu funcționează pe PHP nou, așa că trecerea se face întâi pe o copie de test.

Și PHP 8.2 are termen: echipa PHP anunță că 8.2 nu mai primește reparații de securitate după 31 decembrie 2026. Dacă tot actualizezi acum, mergi direct pe 8.3 sau 8.4.

Trebuie să opresc site-ul până se face actualizarea?

Unele organizații au ales să-și scoată serviciile offline temporar. Pentru un site de firmă sau un magazin, de obicei nu e nevoie de asta dacă actualizarea se face rapid. Dacă totuși trebuie să oprești site-ul câteva ore, fă-o corect, ca să nu pierzi poziții în Google.

Pe 21 octombrie, John Mueller de la Google a recomandat pe Bluesky să folosești codul HTTP 503 („serviciu indisponibil temporar”) în loc să lași site-ul să dea erori 404, 500 sau să nu răspundă, potrivit Search Engine Roundtable. Ghidul Google adaugă: 503 e potrivit pentru o întrerupere de 1–2 zile, fișierul robots.txt trebuie să rămână accesibil, iar o oprire mai lungă de câteva zile poate scoate pagini din index, iar revenirea nu are un termen garantat.

Ce recomandăm noi

• Azi: verifică versiunea PHP și scrie-i firmei de hosting. Un mesaj scurt e suficient: „Ați aplicat actualizarea PHP din 21 octombrie 2026 (CVE-2026-109618 și CVE-2026-109619) pe serverul meu?”
• În aceeași săptămână: fă un backup complet (fișiere și bază de date) și verifică site-ul pentru semne ciudate: pagini pe care nu le-ai creat, utilizatori administratori noi, redirecționări. Dacă folosești UpdraftPlus, vezi și ce verifici după breșa UpdraftPlus din octombrie 2026.
• Dacă ești pe PHP 7.4 sau 8.0/8.1: planifică trecerea pe PHP 8.3+ cu testare pe o copie a site-ului.
• Pe termen lung: un site nu e „gata” la lansare. Actualizările de PHP, WordPress și pluginuri, backup-urile și monitorizarea sunt muncă lunară. Dacă nu ai pe cineva care să se ocupe de ele, fă-o printr-un pachet de mentenanță pentru site.
• Dacă vrei să scapi de grija serverului: un magazin pe Shopify nu are PHP de actualizat. Comparăm variantele în ghidul Shopify, WooCommerce sau Gomag.

Întrebări frecvente

Ce este PHP2Shell?

Numele dat celor două vulnerabilități critice din PHP (CVE-2026-109618 și CVE-2026-109619), reparate pe 21 octombrie 2026. Ele pot permite unui atacator să ruleze cod pe server fără autentificare.

Dacă actualizez WordPress și pluginurile, sunt protejat?

Nu. Problema e în PHP-ul de pe server. Trebuie actualizat PHP la 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 (ori o versiune cu reparația inclusă de firma de hosting).

Magazinele pe Shopify sunt afectate?

Nu ai nimic de actualizat: pe Shopify, serverele sunt administrate de Shopify, nu de tine. PHP2Shell privește site-urile care rulează pe servere cu PHP, cum sunt WordPress, WooCommerce sau Magento.

Concluzie

PHP2Shell nu se rezolvă dintr-un buton în WordPress, dar se rezolvă repede dacă știi ce să ceri. Verifică azi versiunea PHP, cere confirmarea hostingului și profită de ocazie ca să treci pe o versiune actuală. Dacă vrei să ne ocupăm noi de verificare, actualizare și testare, scrie-ne aici sau vezi ce include mentenanța site-ului.