Corecția PHP2Shell pe serverele cPanel: de ce versiunea PHP afișată poate rămâne aceeași

Toate serverele noastre cPanel de hosting partajat au corecția pentru PHP2Shell (CVE-2026-109618 și CVE-2026-109619), pe toate versiunile PHP disponibile.

Dacă site-ul dvs este pe un pachet cPanel de hosting partajat, nu aveți nimic de făcut.

Ce s-a întâmplat

Pe 21 octombrie 2026 echipa PHP a publicat corecții pentru două vulnerabilități critice, cunoscute sub numele PHP2Shell, fiecare cu un scor de severitate de 9,2 din 10. În anumite condiții, ele permit rularea de cod pe server printr-o cerere trimisă către site, fără autentificare. Primele tentative de atac au fost raportate chiar în acea zi.

Ce am făcut

Pe 21 octombrie, înainte de instalarea corecțiilor am dezactivat pe toate serverele cPanel funcția PHP prin care trecea atacul cunoscut (progresul încărcării de fișiere în sesiune). Echipa PHP recomandă ca ea să rămână oprită și după corecție, așa că o lăsăm oprită.

WAF-ul Imunify360 de pe servere a primit încă de pe 21 octombrie reguli pentru forma cunoscută a atacului, iar noi am adăugat o regulă proprie. Împreună au blocat chiar din prima zi tentative reale de exploatare.

Pe 21 și 22 octombrie am instalat corecțiile oficiale. Pe fiecare server am verificat că procesele PHP rulează efectiv versiunea corectată, inclusiv din conturi de test, așa cum le vede un site obișnuit.

Versiunile PHP 4.4 și 5.1, pentru care nu există corecție, au fost scoase de pe servere. Acolo unde erau folosite, am mutat site-ul pe o versiune corectată.

Verificarea serverelor pentru semne de compromitere nu a găsit exploatări ale PHP2Shell.

De ce versiunea afișată poate rămâne aceeași

Pe unele servere vedeți deja una dintre versiunile noi publicate de PHP: 8.2.35, 8.3.36, 8.4.27 sau 8.5.12. Pe altele vedeți în continuare versiunea anterioară (de exemplu 8.3.35 sau 8.4.26), iar și aceasta are corecția.

Serverele din a doua categorie rulează CloudLinux, care a aplicat aceeași corecție prin backport peste versiunea existentă. Este practica obișnuită a distribuțiilor Linux de server precum Red Hat sau Ubuntu: codul vulnerabil se înlocuiește, iar eticheta versiunii rămâne aceeași. Seamănă cu o mașină chemată în service, unde se schimbă piesa defectă, iar anul de fabricație din talon rămâne același.

Cum verificați

Dacă versiunea afișată este una dintre cele noi de mai sus, corecția este inclusă. Dacă vedeți o versiune mai veche, deschideți o pagină phpinfo() și căutați câmpul “Build Date”: o dată de 20 octombrie 2026 sau mai nouă înseamnă build-ul cu corecție. Suportul vă poate confirma build-ul pentru site-ul dvs.

Scanere de securitate și audituri

Un scanner care compară doar numărul versiunii cu o listă de vulnerabilități va marca în continuare 8.3.35 sau 8.4.26 ca vulnerabile, ceea ce pe serverele noastre este un fals pozitiv. Pentru un auditor contează data build-ului și faptul că pachetul conține corecția pentru CVE-2026-109618 și CVE-2026-109619, iar la cerere vă trimitem confirmarea scrisă.

Ce versiune PHP să folosiți

Toate versiunile rămase în cPanel au corecția. Pe termen lung vă recomandăm o versiune încă susținută de echipa PHP, adică 8.3 sau 8.4. Versiunile mai vechi primesc doar corecțiile adăugate de furnizorul sistemului, cum s-a întâmplat acum.

Versiunea PHP nu se schimbă odată cu actualizarea site-ului: o alegeți separat, din cPanel (MultiPHP Manager sau Select PHP Version). Dacă treceți pe o versiune mai nouă, pașii sunt:

1. faceți o copie de siguranță a site-ului
2. actualizați tema, pluginurile și modulele (versiunile lor vechi pot să nu funcționeze pe PHP nou)
3. schimbați versiunea din cPanel
4. verificați câteva pagini (inclusiv formularele și coșul de cumpărături, dacă există) și la nevoie reveniți din același loc la versiunea anterioară

Întrebări frecvente

Am ceva de făcut?

Nu. Corecția este aplicată la nivel de server, iar site-ul dvs funcționează la fel ca înainte.

Vreau neapărat versiunea 8.3.36. Se poate?

Pe serverele CloudLinux versiunea 8.3.36 nu este disponibilă deocamdată, pentru că furnizorul a ales backport-ul. Dacă aveți o cerință contractuală sau de audit legată strict de numărul versiunii, scrieți-ne și găsim împreună varianta potrivită.

Am un VPS. Se aplică și la mine?

Acest articol se referă la hosting-ul partajat cPanel. Pentru un VPS, situația depinde de cine administrează serverul, iar detaliile le găsiți în .

Ultima verificare: 22 octombrie 2026.