Faqet qeveritare në Evropë mbyllen përkohësisht për shkak të dy dobësive kritike në PHP, përditësimet tashmë të disponueshme

Disa faqe interneti qeveritare, shkollash dhe spitalesh në Evropë u mbyllën përkohësisht të mërkurën, ndërsa organizatat nxituan të mbrohen nga dy dobësi kritike sigurie në PHP, gjuhën e programimit që fuqizon një pjesë të madhe të internetit, siç njofton Reuters. Zhvilluesit e PHP-së publikuan përditësime që rregullojnë dy dobësitë e identifikuara më parë dhe u bënë thirrje përdoruesve t’i instalojnë menjëherë.

Të dyja dobësitë, të regjistruara si CVE-2026-109618 dhe CVE-2026-109619, vlerësohen me 9.2 në shkallën e ashpërsisë CVSS dhe, sipas ekipit të reagimit kibernetik të BE-së CERT-EU, mbartin rrezikun e ekzekutimit të kodit në distancë pa autentikim — një lloj defekti që u lejon sulmuesve të ekzekutojnë kod dashakeq në sistemet e cenueshme pa u kyçur. “PHP është kudo. Ai fuqizon në heshtje WordPress-in, Drupal-in, Joomla-n dhe Magento-n, platformat e hostimit të përbashkët, panelet e kontrollit dhe shumë softuerë që as nuk e reklamojnë se përdorin PHP-në”, tha kompania e sigurisë kibernetike Huntress, siç citon Reuters. Kompania Wiz, e cila i raportoi defektet te PHP-ja, thotë se çdo version që nga 5.4 preket nga të paktën njëra prej dobësive dhe demonstroi ekzekutim kodi në distancë ndaj imazheve më të fundit të WordPress-it, Drupal-it dhe Joomla-s.

Në Holandë, siç raporton transmetuesi NOS sipas përmbledhjes së Patchstack-ut, jashtë funksionit dolën ndër të tjera shërbimi i identifikimit DigiD, portali qeveritar MijnOverheid, faqja e Dhomës së Përfaqësuesve dhe madje edhe faqja e vetë Qendrës Kombëtare holandeze të Sigurisë Kibernetike. Në Gjermani, një zëdhënës i ministrisë dixhitale i tha Reuters-it se ofruesi federal i shërbimeve ITZBund kishte mbyllur disa faqe interneti për shkak të dobësive në PHP, duke theksuar se mbyllja ishte thjesht parandaluese dhe se nuk dihej për asnjë incident sigurie. Mediat japoneze raportuan gjithashtu mirëmbajtje urgjente në disa shërbime të mëdha.

Paralajmërimet erdhën nga disa drejtime njëkohësisht. Agjencia amerikane e Sigurisë Kombëtare (NSA) u bëri thirrje organizatave që përdorin PHP-në të përgatiten për përditësimin, duke paralajmëruar se defekte të tilla shpesh ofrojnë “një rrugë të drejtpërdrejtë drejt sistemit të skedarëve ose bazës së të dhënave të serverit”, siç njofton Reuters. Drejtori i teknologjisë i Cloudflare-it, Dane Knecht, tha se kompania po shihte sulme të hershme dhe po përditësonte rregullat e murit të zjarrit si masë ndaluese e përkohshme, ndërsa Patchstack raportoi se partnerët e hostimit i kishin njoftuar disa incidente aktive shfrytëzimi që në mëngjes. Agjencia australiane e sigurisë kibernetike tha ndërkohë se nuk ishte në dijeni të shfrytëzimit aktiv.

Përditësimet rregulluese — versionet PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35 — u publikuan të mërkurën pasdite, ndërsa për versionet e vjetra 7.4, 8.0 dhe 8.1 u ofruan rregullime në kodin burimor. Çështja, e pagëzuar “PHP2Shell”, u bë publike një ditë më parë se zbulimi i koordinuar, pasi detajet rrjedhën më 20 tetor; kompania watchTowr i konfirmoi dobësitë dhe i vlerësoi me notën maksimale 10.0. Ekspertët këshillojnë çdo administrator faqesh që punojnë me PHP — përfshirë miliona faqe WordPress — ta instalojë përditësimin sa më shpejt, ose, kur kjo nuk është e mundur menjëherë, ta mbyllë përkohësisht faqen derisa rreziku të zbutet plotësisht.