Pe 20–21 octombrie 2026 a fost anunțată o vulnerabilitate PHP critică (PHP2Shell), formată din CVE-2026-109618 și CVE-2026-109619. Ambele permit execuție de cod de la distanță fără autentificare, direct în interpretorul PHP, indiferent de securitatea aplicației.
Pentru firmele care au un site de prezentare simplu, evenimentul a evidențiat din nou diferența dintre un site dinamic care rulează PHP și un site generat static. În același timp, pentru clienții care au nevoie de funcționalități dinamice, un pachet de mentenanță web activ a făcut diferența între intervenție rapidă și expunere prelungită.
Ce a însemnat vulnerabilitatea PHP pentru site-urile dinamice
Vulnerabilitatea PHP (CVE-2026-109618 și CVE-2026-109619) afectează modul în care PHP gestionează memoria și starea cererilor. Un atacator poate declanșa condiții care duc la RCE, cel mai ușor pe Apache cu mod_php, uneori înainte ca aplicația să ruleze.
Magazinele online, platformele cu conturi sau orice aplicație PHP au avut la dispoziție:
- actualizare imediată la versiunile patch-uite (8.5.12, 8.4.27, 8.3.36, 8.2.35);
- reguli WAF temporare pentru a reduce suprafața de atac;
- configurări parțiale (dezactivarea upload progress, ajustarea memory_limit);
- scoatere temporară din producție până la aplicarea patch-ului, mai ales pe versiuni vechi sau hosting shared.
Nu există o soluție completă doar prin configurare. Patch-ul oficial rămâne remedierea reală.
Cum am protejat site-urile cu pachete de mentenanță web active
Pentru clienții care au un pachet de mentenanță web activ, am verificat versiunea de PHP, am aplicat update-urile disponibile sau mitigările recomandate și am monitorizat logurile. Acolo unde hosting-ul permitea, actualizarea a fost făcută rapid. Unde nu, am combinat reguli WAF cu limitarea expunerii până la remediere.
Mentenanța web nu înseamnă doar update-uri de plugin-uri. Înseamnă și reacție la vulnerabilități de infrastructură, verificarea versiunilor runtime și aplicarea măsurilor până când patch-ul este disponibil. Clienții cu plan activ nu au fost nevoiți să gestioneze singuri alerta.
De ce un site de prezentare static nu a fost afectat
Un site generat static (Hugo sau alt stack Jamstack) nu procesează cereri prin PHP. Paginile sunt fișiere HTML servite direct. Nu există interpretor PHP, nu există workers cu stare persistentă și nu există suprafață de atac pentru aceste CVE-uri.
Pentru creare site de prezentare, varianta statică elimină complet acest tip de risc. Viteza rămâne constantă, mentenanța de securitate la nivel de runtime dispare, iar costul pe termen lung este de obicei mai mic. Formularele de contact pot fi gestionate prin servicii externe, fără a expune tot site-ul.
Dacă site-ul tău este doar de prezentare și nu ai nevoie de funcționalități dinamice complexe, migrarea către o soluție statică reduce semnificativ expunerea la viitoare vulnerabilități PHP.
Creare site de prezentare: static sau dinamic cu mentenanță web?
Alegerea depinde de nevoi:
- Creare site de prezentare static (Hugo): potrivit când ai nevoie de pagini clare, rapide, cu contact și informații de bază. Zero dependență de PHP.
- Site dinamic (WordPress sau alt CMS) + mentenanță web: potrivit când ai nevoie de actualizări frecvente de conținut, conturi, sau funcționalități care cer un backend. În acest caz, pachetul de mentenanță acoperă update-urile de PHP, plugin-uri și reacția la alerte de securitate.
Ambele variante pot fi sigure. Diferența este în suprafața de atac și în efortul continuu necesar.
Dacă vrei să verificăm dacă site-ul tău actual poate fi mutat pe o variantă statică sau dacă un pachet de mentenanță web este mai potrivit pentru nevoile tale, trimite-mi link-ul. Îți spun concret ce se poate simplifica și ce trebuie păstrat.
