WordPress rulează pe PHP, iar versiunea PHP decide dacă site-ul mai primește corecturi de securitate. În octombrie 2026 au fost descoperite în PHP două vulnerabilități critice, care puteau fi remediate doar prin actualizarea PHP. Actualizarea WordPress nu a ajutat. Din acest ghid afli cum verifici versiunea PHP în câteva minute, ce versiune este sigură și cum faci actualizarea fără să strici site-ul.
PHP2Shell: de ce contează acum versiunea PHP
Pe 21 octombrie 2026, PHP a publicat corecturi pentru două vulnerabilități critice (CVE-2026-109618 și CVE-2026-109619), numite PHP2Shell. Ambele au un scor de gravitate de 9,2/10 (CVSS 4.0). În cel mai rău caz, un atacator poate rula propriile comenzi pe server fără să se autentifice. În instalările Apache cu mod_php, atacul poate porni chiar înainte să ruleze vreo linie din codul WordPress.
Vulnerabilitățile afectează, în fiecare ramură PHP, toate versiunile anterioare celei cu corectura: 8.2.35, 8.3.36, 8.4.27 și 8.5.12. PHP 8.1 și versiunile mai vechi nu mai primesc actualizări de la proiectul PHP. Pe 23 octombrie, PHP a anunțat și o a treia vulnerabilitate (CVE-2026-115560), a cărei exploatare necesită o combinație rară de setări și cod de aplicație. Ea va fi corectată în următoarea versiune obișnuită.
Potrivit Centrului Național de Securitate Cibernetică al Finlandei (NCSC-FI), pe 21 octombrie nu se știa de exploatarea activă a vulnerabilităților, dar existau deja exemple de cod funcționale, așa că situația se poate schimba rapid.
PHP primește corecturi de securitate de mai multe ori pe an, dar doar pentru ramurile de versiuni suportate. Fiecare ramură este corectată aproximativ patru ani, iar breșele găsite după aceea rămân deschise. De aceea merită să verifici versiunea PHP regulat, nu doar când o vulnerabilitate apare în știri.
Cum verifici versiunea PHP
Din panoul de administrare WordPress
- Autentifică-te în WordPress ca administrator.
- Alege din meniul din stânga Unelte → Sănătate site (în WordPress în engleză: Tools → Site Health).
- Deschide fila Informații (Info), apoi secțiunea Server.
- Pe rândul Versiune PHP (PHP version) vezi numărul exact al versiunii, de exemplu 8.3.36.
Uită-te la numărul complet. Ramura (8.3) îți spune dacă versiunea mai este suportată, iar ultimul număr (36), dacă ultima corectură este instalată. Dacă versiunea este învechită, WordPress afișează pe pagina Panou control și avertismentul Actualizarea PHP este obligatorie. Nu aștepta însă avertismentul, ci verifică singur numărul.
Din panoul de control al găzduirii
La majoritatea furnizorilor de găzduire, versiunea PHP se vede și se poate schimba din panoul de control. În cPanel, secțiunea se numește de obicei MultiPHP Manager sau Select PHP Version, iar în Plesk o găsești în setările PHP ale fiecărui domeniu. Dacă nu o găsești, întreabă furnizorul ce versiune PHP are site-ul tău și dacă este instalată corectura din octombrie 2026.
De pe server (pentru administratori)
Pe propriul server, comanda php -v arată versiunea PHP din linia de comandă. Site-ul nu rulează neapărat cu același PHP, pentru că serverul web poate folosi altă versiune prin PHP-FPM sau prin modulul Apache. Informația cea mai sigură este în ecranul Sănătate site din WordPress.
Distribuțiile Linux, precum Debian, Ubuntu și Red Hat, preiau adesea corecturile în propriile pachete fără să schimbe numărul versiunii. Numărul poate deci părea vechi, deși corectura este instalată. În acest caz, verifică în jurnalul de modificări al pachetului dacă sunt menționate ID-urile CVE.
Ce versiune PHP este sigură?
O versiune sigură îndeplinește două condiții: ramura ei mai primește corecturi de securitate, iar pe server este instalată cea mai nouă versiune de corectură a ramurii. În octombrie 2026, situația este următoarea:
| Ramura PHP | Suportul de securitate se încheie | PHP2Shell corectat în versiunea |
|---|---|---|
| 8.5 | 31.12.2029 | 8.5.12 |
| 8.4 | 31.12.2028 | 8.4.27 |
| 8.3 | 31.12.2027 | 8.3.36 |
| 8.2 | 31.12.2026 | 8.2.35 |
| 8.1 și mai vechi | încheiat (8.1: 31.12.2025, 7.4: 28.11.2022) | nicio versiune oficială |
WordPress recomandă PHP 8.3 sau mai nou. Încă funcționează cu PHP 7.4, dar wordpress.org avertizează că o versiune învechită poate expune site-ul la probleme de securitate. Suportul pentru PHP 8.2 se încheie la sfârșitul anului 2026, așa că, dacă site-ul tău îl folosește, planifică de pe acum trecerea la 8.3 sau 8.4.
Pentru versiunile 7.4, 8.0 și 8.1, echipa de securitate PHP a publicat corectura PHP2Shell doar sub formă de cod sursă, pentru cei care compilează singuri PHP. Unele distribuții Linux și unii furnizori de găzduire fac pachete corectate proprii pentru versiunile vechi. Soluția permanentă rămâne totuși trecerea la o versiune suportată.
Cum actualizezi PHP
Pe găzduirea web
Corecturile din aceeași ramură (de exemplu 8.3.35 → 8.3.36) le instalează de obicei furnizorul de găzduire. Schimbarea ramurii (de exemplu 8.1 → 8.3) o faci de cele mai multe ori singur, din panoul de control. Iată cum:
- Fă o copie de rezervă a fișierelor și a bazei de date. La mulți furnizori de găzduire o poți face din panoul de control.
- Actualizează WordPress, temele și pluginurile. Un plugin sau o temă învechită este un motiv frecvent pentru care site-ul se strică la actualizarea PHP.
- Testează mai întâi pe o copie, dacă găzduirea oferă un mediu de test (staging).
- Schimbă versiunea PHP din panoul de control.
- Parcurge site-ul: pagina principală, formularele, pagina de plată a magazinului online și panoul de administrare. Confirmă în ecranul Sănătate site că noua versiune este folosită.
Dacă ceva se strică, revino temporar la versiunea anterioară, repară sau înlocuiește pluginul problematic și încearcă din nou. Nu merită să rămâi pe versiunea veche.
Pe propriul server
- Instalează pachetele PHP actualizate ale distribuției (de exemplu
apt upgradesaudnf upgrade) sau compilează versiunea corectată. - Repornește PHP-FPM, Apache și celelalte procese care rulează PHP, cum ar fi sarcinile din fundal. Corectura se aplică abia după aceea.
- Dacă site-ul rulează într-un container, construiește o imagine nouă pe baza PHP-ului corectat și pune-o în funcțiune.
- La final, verifică versiunea în ecranul Sănătate site.
Dacă actualizarea nu se poate face imediat
Potrivit PHP, singura remediere completă este actualizarea. Dacă aceasta întârzie, administratorul serverului poate reduce riscul cu setările recomandate în avertismentele de securitate PHP. Pe găzduirea web, de setări decide de obicei furnizorul.
session.upload_progress.enabled=0blochează metodele de atac confirmate pentru vulnerabilitățile CVE-2026-109619 și CVE-2026-115560. Potrivit PHP, merită să lași setarea dezactivată și după actualizare, dacă nu ai nevoie de această funcție.- În PHP 8.5,
fatal_error_backtraces=0elimină încă o metodă de atac confirmată.
Niciuna dintre cele două setări nu protejează împotriva vulnerabilității CVE-2026-109618. Setările îți pot câștiga timp, dar nu înlocuiesc actualizarea.
Întrebări frecvente
WordPress actualizează automat PHP?
Nu. WordPress se actualizează pe sine, dar PHP este software de server, pe care îl actualizează furnizorul de găzduire sau administratorul serverului. De aceea, actualizarea WordPress nu remediază vulnerabilitățile PHP2Shell.
Ce versiune PHP să aleg pentru WordPress?
WordPress recomandă PHP 8.3 sau mai nou. În octombrie 2026, alegeri bune sunt 8.3 și 8.4, cu condiția ca ultima corectură să fie instalată și pluginurile să suporte versiunea.
Poate actualizarea PHP să strice site-ul?
O versiune de corectură din aceeași ramură, cum ar fi 8.3.35 → 8.3.36, strică rareori ceva. Schimbarea ramurii poate strica un plugin sau o temă veche, așa că fă o copie de rezervă și testează mai întâi.
Mai este sigur PHP 7.4?
Nu. Suportul lui de securitate s-a încheiat pe 28 noiembrie 2022. WordPress încă funcționează cu 7.4, dar wordpress.org avertizează că o versiune învechită poate expune site-ul la probleme de securitate.
Cum aflu dacă furnizorul meu de găzduire a instalat corectura PHP2Shell?
Uită-te la numărul complet al versiunii PHP în ecranul Sănătate site și compară-l cu tabelul de mai sus. Dacă numărul este mai mic, întreabă furnizorul dacă pachetul lor include corectura.
Dacă actualizarea PHP strică un plugin sau ai nevoie de cineva care să se ocupe de întreținerea site-ului, contactează-ne. Ajutăm la actualizarea aplicațiilor WordPress și PHP.
Surse
- Centrul Național de Securitate Cibernetică al Finlandei (NCSC-FI): Kriittisiä haavoittuvuuksia PHP:ssa (37/2026) (în finlandeză)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (în engleză)
- PHP: RCE via OOM corruption, CVE-2026-109618 (în engleză)
- PHP: RCE via stale global state, CVE-2026-109619 (în engleză)
- PHP: versiuni suportate (în engleză)
- WordPress: cerințe (în engleză)
