Vulnerabilitate critică RCE în PHP fără patch: ce trebuie să știe firmele

Gestionarea securității infrastructurii web devine o misiune din ce în ce mai dificilă pentru companii, mai ales atunci când vulnerabilitățile critice apar înainte ca producătorii să lanseze un patch oficial. La clienții noștri din Arad vedem des situații în care serverele web rulează aplicații complexe fără ca echipele interne să aibă timp să țină pasul cu ultimele avertizări de securitate. Într-un mediu de afaceri din România, unde fiecare minut de nefuncționare sau o potențială breșă de securitate înseamnă pierderi financiare și de credibilitate, reacția rapidă face diferența. Tocmai de aceea, noi, la Activ.NET, analizăm constant alertele emise de echipele de dezvoltare și aplicăm măsuri preventive înainte ca acestea să devină incidente majore.

#Ce s-a întâmplat

Echipa de securitate PHP a emis o alertă prin care informează comunitatea despre o nouă vulnerabilitate de tip Remote Code Execution (RCE), înregistrată sub identificatorul CVE-2026-115560. Această slăbiciune afectează sistemele care folosesc o combinație neobișnuită de configurări și cod de aplicație, fiind necesar ca parametrul session.serialize_handler să fie setat la php_binary sau php_serialize, apoi modificat la rulare prin funcția ini_set() înainte de apelarea session_start(), în timp ce progresul de încărcare a sesiunilor (session upload progress) rămâne activat. Deși PHP este un limbaj utilizat de aproximativ 70% dintre site-urile de pe internet, această configurație specifică este rară în practică.

Potrivit raportărilor din industrie, vulnerabilitatea vine pe fondul unor incidente recente legate de pachetul PHP2Shell, unde companii de securitate precum Amazon Threat Intelligence și Cloudflare au detectat tentative de exploatare și scanare în masă cu câteva zile înainte ca patch-urile să fie lansate oficial miercuri. În cazul CVE-2026-115560, deoarece scenariul de exploatare este complex, echipa PHP a ales să integreze rezolvarea în ciclul regulat de lansare, oferind însă o soluție temporară de protecție. Dezvoltatorii recomandă setarea session.upload_progress.enabled=0 pe servere până la apariția unui patch complet.

#Impact pentru firme

Pentru o companie mică sau mijlocie din România care își găzduiește propriile platforme e-commerce, site-uri de prezentare sau aplicații interne bazate pe PHP, lipsa unui patch oficial poate crea panică. Riscul major constă în faptul că, deși exploatarea necesită o configurație specifică, atacatorii scanează constant spațiul public pentru a identifica sisteme vulnerabile sau versiuni neactualizate.

O breșă de securitate printr-o vulnerabilitate RCE permite unui atacator să execute cod de la distanță pe serverul web, compromițând integritatea bazei de date și a datelor clienților. Timpul pierdut pentru recuperarea unui server infectat, costurile de investigație și posibilele sancțiuni legate de conformitatea GDPR afectează direct bugetul unei firme care nu are implementate proceduri stricte de administrare de servere sau monitorizare proactivă a stivei tehnologice.

#Recomandări concrete

Chiar dacă patch-ul oficial nu a fost încă lansat pentru această speță specifică, administratorii de sisteme pot lua măsuri imediate pentru a reduce riscul la zero. Iată ce poți face chiar astăzi împreună cu echipa ta tehnică:

1. Dezactivează progresul sesiunilor: Setează în fișierul de configurare php.ini directiva session.upload_progress.enabled = 0 pentru a bloca vectorul de atac menționat de dezvoltatori.
2. Verifică fișierele de configurare la nivel de aplicație: Asigură-te că scripturile proprii nu modifică dinamic handler-ul de serializare a sesiunilor prin ini_set() în timpul rulării.
3. Implementează servicii profesioniste de mentenanță: Dacă nu ai o echipă dedicată care să verifice logurile și alertele de securitate zilnic, apelează la serviciile noastre de Service IT pentru firme pentru a asigura auditarea periodică a infrastructurii web.

#Concluziile noastre

Incidentele recente din ecosistemul PHP demonstrează încă o dată că securitatea cibernetică nu se rezumă doar la instalarea automată a unor actualizări, ci presupune vigilență continuă și aplicarea de soluții temporare de protecție atunci când producătorii o cer. La Activ.NET, recomandăm o abordare proactivă a infrastructurii IT, bazată pe monitorizare constantă și politici stricte de securizare (hardening) pentru serverele web. Gestionarea corectă a riscurilor digitale protejează continuitatea afacerii tale și reputația construită în fața clienților.

Inspirat din: BleepingComputer