PHP2Shell: dy dobësi kritike në PHP rrezikojnë miliona faqe web, përditësimi urgjent tashmë është gati

Ekipi i sigurisë i PHP-së publikoi të mërkurën, 21 tetor, përditësime emergjence për dy dobësi kritike që, të kombinuara, njihen me emrin PHP2Shell. Ato i lejojnë një sulmuesi të ekzekutojë kod në distancë (remote code execution) në server, pa pasur nevojë për llogari apo fjalëkalim. Meqë PHP qëndron pas një pjese të madhe të internetit, nga WordPress e Drupal te dyqanet online me Magento, ekspertët e quajnë këtë një nga alarmet më serioze të vitit.

Çfarë dihet për dobësitë

Dobësitë kanë kodet CVE-2026-109618 dhe CVE-2026-109619 dhe prekin, sipas PHP Foundation, «të gjitha instalimet e PHP që shërbejnë kërkesa web», deri te versioni 5 i vitit 2004. Rrënja e problemit është e njëjtë: kur një kërkesë përfundon në mënyrë jonormale, PHP mund ta lërë memorien në gjendje të korruptuar. Një sulmues mund ta shfrytëzojë këtë për të ekzekutuar kod me të drejtat e procesit të serverit web ose për të lexuar memorien, ku mund të ndodhen fjalëkalime, tokena dhe çelësa API.

Rreziku më i lartë, sipas ekipit të PHP, është për Apache me mod_php, ku sulmi funksionon edhe para se të ekzekutohet kodi i aplikacionit. Preken gjithashtu PHP-FPM, php-cgi, FrankenPHP dhe LiteSpeed. Dobësitë u zbuluan nga studiuesit e Wiz, Calif dhe OpenAI, pjesërisht me ndihmën e mjeteve të AI.

Sulmet kanë nisur tashmë

Cloudflare njoftoi se po shihte përpjekjet e para për sulme edhe para publikimit të detajeve, ndërsa firma e sigurisë Sansec kishte paralajmëruar se sulmet masive do të niseshin brenda 15 minutash nga publikimi. Përditësimet dolën pak para orës 16:00 me orën e Shqipërisë. Disa institucione, mes tyre faqe të qeverisë finlandeze dhe franceze si dhe porti i Roterdamit, i nxorën përkohësisht jashtë linje faqet e tyre si masë parandaluese, sipas Reuters dhe Wired. Qendra britanike e sigurisë kibernetike (NCSC) u kërkoi organizatave të përditësojnë menjëherë ose t’i fikin sistemet deri në rregullim.

Çfarë duhet bërë

• Instaloni menjëherë PHP 8.5.12, 8.4.27, 8.3.36 ose 8.2.35, sipas degës që përdorni.
• PHP 8.1 dhe më të vjetrat nuk mbështeten më zyrtarisht; ekipi ka nxjerrë arna minimale për 7.4, 8.0 dhe 8.1 për ata që kompilojnë vetë, por zgjidhja e duhur është kalimi në një version të mbështetur.
• Masat e përkohshme, si ulja e post_max_size ose çaktivizimi i session.upload_progress, e ulin rrezikun, por sipas zhvilluesve nuk mbrojnë plotësisht.

«Nuk ka masa të plota mbrojtëse, përditësimi është e vetmja zgjedhje e sigurt», shkruan PHP Foundation.

Pse ka rëndësi për ju

Shumica dërrmuese e faqeve të bizneseve, mediave dhe dyqaneve online në Shqipëri funksionojnë mbi WordPress ose platforma të tjera me PHP, shpesh në hosting të përbashkët ku versioni i PHP-së nuk kontrollohet rregullisht. Nëse keni një faqe, kontaktoni sot ofruesin e hosting-ut ose administratorin për të verifikuar versionin. Me sulme të automatizuara që skanojnë gjithë internetin, një server i papërditësuar mund të komprometohet brenda pak orësh.