Pe 21 octombrie 2026 au fost publicate două vulnerabilități critice în PHP, limbajul pe care rulează WordPress, majoritatea magazinelor online și o mare parte din site-urile din România. Un atacator poate prelua serverul fără nicio parolă. Verifică acum ce versiune PHP afișează site-ul tău.
Rezultat în câteva secunde, fără cost.
Doar cereri obișnuite, ca un vizitator. Nu trimitem cod.
Nu te înregistrezi și nu lași date ca să verifici.
Nu salvăm adresa verificată și nu publicăm rezultate.
Două vulnerabilități critice în motorul PHP, cu scor CVSS 9.2, care permit preluarea serverului fără parolă. Sunt deja exploatate.
PHP2Shell e numele dat celor două vulnerabilități critice, CVE-2026-109618 și CVE-2026-109619, cu scor CVSS 9.2 din 10. Sunt în motorul PHP, în felul în care gestionează memoria între cereri, nu în site, temă sau pluginuri.
Un atacator poate rula cod pe server fără să fie autentificat: poate citi baza de date, fișierele și parolele sau poate modifica site-ul. Detaliile au ajuns publice înainte de reparații, iar primele atacuri au fost raportate chiar din ziua publicării.
Orice site pe o versiune PHP neactualizată: WordPress, magazine online, aplicații custom. Sigure sunt doar versiunile reparate:
Orice server care rulează PHP pentru un site: PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP, LiteSpeed. Cel mai expus e Apache cu mod_php, unde atacul poate porni înainte să ruleze vreo linie din codul site-ului.
PHP 8.1 și mai vechi (inclusiv 7.4) nu mai primesc versiuni oficiale, doar patch-uri în cod sursă și actualizări de la unele distribuții Linux.
Cu verificarea de mai sus sau din panoul de hosting, la „Select PHP Version”.
La 8.2.35, 8.3.36, 8.4.27 sau 8.5.12. De pe 8.1 sau mai vechi, treci pe 8.3 sau 8.4.
Admin, baza de date, FTP și cheile API. Memoria PHP putea fi citită de atacator.
Celelalte site-uri, subdomeniile, serverele vechi. Ascunde versiunea cu expose_php = Off.
post_max_size mic și session.upload_progress.enabled=0. Reduc unele căi de atac, dar nu fac instalarea sigură. Doar actualizarea rezolvă problema.Numele dat celor două vulnerabilități critice din PHP publicate pe 21 octombrie 2026, CVE-2026-109618 și CVE-2026-109619. Ambele pot permite unui atacator să ruleze cod pe server fără să fie autentificat. Au scor CVSS 9.2 din 10.
Da, dacă serverul rulează o versiune PHP neactualizată. Problema e în PHP, nu în WordPress sau în pluginuri, deci actualizarea WordPress nu rezolvă nimic. Contează versiunea PHP a serverului.
Nu. Trimitem o singură cerere obișnuită, ca un vizitator, și citim doar versiunea PHP din răspuns. Nu trimitem nimic care să încerce vulnerabilitatea.
Nu neapărat. Înseamnă doar că serverul nu afișează versiunea PHP, ceea ce e o setare bună, dar nu o reparație. Confirmă versiunea în panoul de hosting sau întreabă firma de hosting.
Din panoul de hosting (cPanel, Plesk) poți de obicei alege versiunea PHP. Alege 8.3 sau 8.4, verifică că site-ul merge și cere hostingului confirmarea că serverul are versiunea reparată.
Proiectul PHP nu mai publică versiuni oficiale pentru 8.1 și mai vechi. A oferit doar patch-uri în cod sursă pentru 7.4, 8.0 și 8.1, iar unele distribuții Linux au propriile actualizări. Soluția sigură e trecerea pe 8.3 sau 8.4.
/cpanel), serverul web și CDN-ul, apoi căutăm versiunea PHP pe prima pagină și pe paginile servite tipic de PHP (/index.php, /wp-login.php). Totul e pasiv: doar cereri obișnuite pe porturile 80 și 443, ca un vizitator. Nu scanăm alte porturi și nu trimitem nimic care să încerce vulnerabilitatea. Clasificarea versiunilor pornește de la php2shell-checker (OpenAI); detecția e a noastră. Rezultatul e un semnal, nu un audit: furnizorii pot aplica reparația fără să schimbe numărul versiunii.Verificăm versiunea PHP direct pe server, aplicăm actualizarea, testăm că site-ul merge și schimbăm credențialele care ar fi putut fi expuse.
Răspundem în cel mult o zi lucrătoare, cu pașii concreți pentru site-ul tău.