# PHP Foundation acuză Chainguard că a publicat prematur breșele care au declanșat oprirea unor site-uri

> Cloudflare a observat milioane de tentative de exploatare a breșelor PHP. Organizațiile trebuie să confirme instalarea corecțiilor pe servere.

Publicat: 24 octombrie 2026, 00:24 · Actualizat: 24 octombrie 2026, 18:28 · Autor: Denisa Stanescu · Categorie: [Tehnologie](https://financiarul.ro/tehnologie/index.html.md) · Pagina web: https://financiarul.ro/tehnologie/un-model-openai-a-descoperit-o-bresa-in-php-folosit-de-aproximativ-70/ · Publicație: Financiarul

![Server securizat pentru atenuarea vulnerabilităților](https://financiarul.ro/wp-content/uploads/2026/10/vulnerabilitati-php-10-1024x683.jpg)

**PHP Foundation acuză compania de securitate cibernetică [Chainguard](https://financiarul.ro/tehnologie/o-eroare-php-descoperita-cu-ai-a-dus-la-oprirea-preventiva-a-unor-site/) că a divulgat înainte de termen informații despre breșele PHP, limbaj integrat în aproximativ 70% dintre site-urile web. Publicarea înainte ca remedierea să fie pregătită a redus intervalul de intervenție al organizațiilor, iar unele autorități și companii au oprit temporar pagini pentru a evita compromiterea serverelor și a datelor.**

Miercuri, 21 octombrie 2026, detaliile au început să circule înaintea orei convenite. PHP Foundation reproșează Chainguard încălcarea unilaterală a embargoului și ignorarea a: „săptămâni de muncă depusă de numeroase părți pentru o dezvăluire coordonată”, potrivit [POLITICO](https://www.politico.eu/article/the-cyber-flaw-scramble-that-brought-the-ai-threat-to-life/). Embargoul era intervalul în care participanții conveniseră să păstreze informațiile confidențiale.

Elizabeth Barron, director executiv al PHP Foundation, a transmis prin e-mail că organizația este dezamăgită de conduita companiei. Ea și-a exprimat însă speranța refacerii încrederii, astfel încât colaborarea să poată continua.

Dan Lorenc, director general al Chainguard, și-a cerut scuze pe LinkedIn pentru divulgarea prematură. În interviul acordat joi, 22 octombrie, pentru POLITICO, el și-a apărat decizia: considera că vulnerabilitatea era deja exploatată și că dovezile deținute justificau publicarea anticipată. Alte persoane au contestat această afirmație.

Lorenc a respins și ideea că intervenția sa ar fi îngreunat activitatea celorlalte echipe de apărare. A recunoscut, totodată, că stabilirea nivelului de dovezi necesar pentru o asemenea decizie reprezintă un domeniu în care aprecierea nu este lipsită de ambiguități.

## Publicarea coordonată le acordă administratorilor timp pentru remediere

Dezvăluirea coordonată presupune că cercetătorii, dezvoltatorii și organizațiile implicate schimbă confidențial informații despre o problemă de securitate. Astfel pot pregăti soluția și o pot transmite agențiilor și altor participanți înainte ca detaliile tehnice să ajungă inclusiv la atacatori.

În cazul PHP, informațiile au apărut și pe un forum înaintea publicării remedierii. Dezvoltatorii încă finalizau corecțiile, administratorii așteptau actualizările, iar atacatorii încercau să profite de vulnerabilități.

Incidentul a ținut mobilizate autorități și companii timp de 72 de ore. Din Europa, Statele Unite, Regatul Unit, Australia și Canada, agențiile de securitate cibernetică au emis miercuri, 21 octombrie, avertismente urgente. Ca măsură de precauție, unele guverne au scos temporar site-uri din funcțiune. În primele ore nu apăruseră indicii că atacurile ar fi provocat pagube majore.

Cercetările asupra problemelor PHP se desfășuraseră pe parcursul mai multor luni, într-un proces coordonat de OpenAI și sprijinit de instrumente de inteligență artificială. Două vulnerabilități majore au fost remediate în cele 24 de ore de după dezvăluire, potrivit Digi24. Pregătirea pachetelor necesare instalării pe servere a fost esențială pentru distribuirea rapidă a corecțiilor.

## Tentativele de exploatare au crescut în primele minute după anunț

Matthew Prince, director general al Cloudflare, a descris joi dimineață, 22 octombrie, pe X, accelerarea tentativelor observate de companie. Serviciile Cloudflare protejează site-uri împotriva atacurilor, ceea ce îi permite să urmărească o parte importantă din această activitate.

- În cele 10 ore anterioare anunțului public, compania înregistrase mii de tentative de exploatare.
- În următoarele 45 de minute, numărul ajunsese la zeci de mii.
- În primele două ore de la anunț, tentativele se numărau cu sutele de mii.
- Ulterior, totalul observat ajunsese la milioane.

Amazon Web Services a descris vulnerabilitatea ca fiind: „exploatată pe scară largă în mediul real”. Numărul încercărilor nu echivalează însă cu numărul serverelor compromise: Thomas Caspers, vicepreședinte al agenției germane de securitate cibernetică, a spus că instituția observase atacuri, fără să identifice exploatări reușite ale breșei PHP. „Se pare că exploatarea este puțin mai complicată decât ne așteptam”, a explicat Caspers.

Un oficial american de rang înalt din domeniul securității cibernetice a relatat că autoritățile federale erau suprasolicitate de mai multe probleme simultane. Pe lângă PHP, echipele gestionau vulnerabilități legate de Node.js, mediul în care rulează programe JavaScript, și de produse ori servicii Fortinet, GitHub și Oracle.

„Departamentul de pompieri se luptă cu mai multe incendii simultan”, a spus oficialul american. El a nuanțat comparația, descriind intervențiile ca fiind limitate la clădiri cu un singur etaj, o categorie de situații cu care echipele sunt obișnuite să lucreze.

## Oprirea site-urilor a fost folosită atât preventiv, cât și pentru actualizare

Caspers a explicat că recomandarea agențiilor de a retrage temporar pagini din funcțiune a reprezentat: „o măsură cu adevărat drastică”. „Nu am fi făcut asta acum câțiva ani”, a adăugat el, legând decizia de rapiditatea și ușurința cu care inteligența artificială poate facilita exploatarea unei vulnerabilități făcute publice.

Instalarea corecțiilor a provocat, la rândul ei, indisponibilitatea temporară a unor pagini ale instituțiilor guvernamentale din Germania și Finlanda, a unor site-uri de spitale și școli europene și a unor platforme internaționale, inclusiv 4chan.

Pentru organizațiile afectate, consecințele posibile ale unui atac includeau controlul neautorizat asupra serverelor, sustragerea ori copierea informațiilor și blocarea accesului la site. Instituții publice, universități, spitale și companii folosesc sisteme construite pe PHP.

## Defectul din nucleul PHP nu se rezolvă prin modificarea unei pagini

În august 2026, un cercetător al firmei de securitate Calif identificase vulnerabilitatea cu ajutorul unui model avansat OpenAI. Compania informase organizația nonprofit responsabilă de PHP prin procedura de dezvăluire coordonată. Intervențiile urgente ale guvernelor și organizațiilor au început pe 21 octombrie 2026.

Problema descrisă exista de peste un deceniu în nucleul limbajului și în bibliotecile sale, nu în codul scris pentru o anumită pagină. Nucleul include motorul care execută programele și bibliotecile cu funcții; separat există scripturile, adică programele realizate pentru fiecare site.

PHP rulează pe serverul de găzduire. El prelucrează solicitările vizitatorilor și generează conținutul transmis browserului. Completarea unor câmpuri, apăsarea unui buton ori deschiderea unui link pot porni executarea acestor programe. Modificarea interfeței unei pagini nu elimină o vulnerabilitate a nucleului.

PHP2Shell, codul conceput pentru exploatare, poate permite transmiterea de instrucțiuni neautorizate către server. Accesul de tip shell înseamnă utilizarea liniei de comandă: atacatorul poate depăși interfața vizibilă a site-ului, poate accesa informații și poate prelua controlul paginii.

Identificarea țintelor poate fi automatizată. Există instrumente care găsesc sisteme PHP expuse pe internet și permit alegerea serverelor pe care poate fi încercat codul de exploatare. Cele fără actualizările necesare rămâneau vulnerabile.

La organizația nonprofit Internet System Consortium, programatorul Ondřej Surý este director de inginerie pentru sistemul numelor de domenii (DNS). El a pus gravitatea celor două breșe pe seama posibilității ca atacatorul să-și execute codul pe server. În opinia sa, executarea de cod de la distanță este cel mai sever tip de vulnerabilitate, iar răspândirea limbajului explică amploarea reacției dezvoltatorilor.

Surý a atras atenția și asupra posibilității ca site-urile să fie oprite fără autorizare. Este o formă de vandalism pe care, spune el, o vede zilnic pe internet. Un server compromis poate oferi totodată acces către rețele informatice mai extinse.

Dispozitivele compromise pot fi reunite într-un botnet, o rețea de echipamente aflate sub controlul atacatorilor. Potrivit programatorului, asemenea operațiuni sunt asociate de regulă criminalității organizate. Infractorii pot obține venituri din vânzarea serviciilor rețelei sau din folosirea echipamentelor pentru minarea criptomonedelor.

## Distribuirea corecțiilor s-a sprijinit pe munca voluntară a unui programator

Cu ajutorul câtorva alți specialiști, Surý a pregătit pachetele pentru instalare. Locuiește în Cehia și nu lucrează direct pentru PHP Foundation: întreține voluntar pachetele PHP și automatizarea lor, separat de atribuțiile sale de serviciu.

„Ceea ce proiectul PHP a făcut a fost să lanseze codul sursă al limbajului de programare. Iar eu m-am ocupat de pregătirea lui sub forma unor pachete pe care utilizatorii le pot instala pe serverele lor”, a explicat Surý într-un interviu pentru The Atlantic.

„Este o soluție foarte comodă și mai rapidă. Procesul poate fi automatizat, ceea ce permite instalarea aceluiași pachet pe sute sau mii de servere fără a fi nevoie de compilare”, a adăugat programatorul. Compilarea transformă codul sursă într-un program executabil; folosirea pachetelor pregătite anterior evită repetarea operațiunii pe fiecare server.

Proiectul PHP îl inclusese printre puținii participanți informați înaintea divulgării publice. Surý a apreciat accesul anticipat, care i-a oferit timpul necesar pentru pregătirea distribuției actualizărilor.

Experiența de peste 20 de ani și automatizarea unei părți mari din activitate l-au ajutat să gestioneze intervenția fără panică. Propriile sale sisteme nu utilizau PHP.

Programatorul a vorbit și despre responsabilitatea pe care o simte față de utilizatorii internetului. A dat exemplul unei eventuale indisponibilități personale, dacă s-ar fi aflat cu barca în mijlocul Mării Adriatice, dar a precizat că, în acest caz, avusese timp să pregătească pachetele.

Alți specialiști i-ar putea prelua activitatea, a explicat Surý, însă ar avea nevoie de mai mult timp și s-ar confrunta cu un proces mai dificil. Fără intervalul de pregătire, presiunea asupra sa ar fi fost mai mare; contribuția rămâne una voluntară.

Ian Landsman, dezvoltator software, a atras atenția pe X asupra dependenței distribuției PHP de activitatea lui Surý. În aprecierea sa, programatorul răspunde singur de cea mai mare parte a acestei distribuții la nivel mondial, iar indisponibilitatea lui ar crea probleme utilizatorilor. Într-o discuție despre PHP pe Reddit, un participant a descris intervenția lui Surý ca pe o salvare a internetului în acea zi.

În 24 de ore de la aflarea informațiilor despre breșe, Surý a primit donații care i-au depășit încasările obișnuite pe un an. Le-a mulțumit donatorilor și a precizat că sprijinul a venit atât în sume mici, cât și în sume mari.

## Inteligența artificială accelerează identificarea problemelor și pregătirea atacurilor

În aprilie, Anthropic prezentase Mythos, alimentând temerile unor specialiști că modelele avansate de inteligență artificială ar putea depăși capacitatea de apărare a sistemelor informatice. În lunile următoare, cercetătorii au găsit mai multe erori după lansările Anthropic și OpenAI, dar efectele practice ale acelor descoperiri au rămas limitate până la incidentul PHP.

În cazul Hugging Face, agenți autonomi OpenAI se comportaseră în afara limitelor așteptate în cursul unei evaluări interne de securitate. Episodul privea mai ales capacitatea companiilor de a-și controla modelele, nu demonstrarea unor pătrunderi în sisteme informatice la scară mondială.

Despre descoperirea breșelor PHP, Eylam Milner, cofondator și director de tehnologie al companiei de securitate cibernetică Echo, a declarat: „Asta se întâmplă atunci când inteligența artificială descoperă o vulnerabilitate care s-a ascuns ani întregi”. El a încadrat vulnerabilitățile: „printre cele mai grave care pot afecta internetul”.

În câteva secunde, modelele pot analiza milioane de linii de cod, inclusiv pentru a găsi greșeli subtile în gestionarea memoriei pe care oamenii le depistează greu. O bază de cod întinsă poate fi verificată în ore sau zile, față de perioada lungă de lucru de care ar avea nevoie echipele de specialiști.

Aceste capacități pot susține apărarea prin descoperirea problemelor, raportarea responsabilă și pregătirea corecțiilor. Pot servi însă și identificării vulnerabilităților și țintelor, precum și automatizării construirii instrumentelor de atac.

Surý a povestit că unii utilizatori au pus episodul PHP alături de alte atacuri cu agenți de inteligență artificială și le-au numit Black October. Se temeau că aceste sisteme ar putea găsi ori exploata erori într-un ritm mai rapid decât reușesc oamenii să le repare.

El a prezentat și perspectiva unui echilibru între atac și apărare: agenților utilizați distructiv li se pot opune alți agenți, capabili să lucreze perseverent pentru protejarea sistemelor.

OpenAI a avertizat în comunicatul de miercuri, 21 octombrie: „Aceste vulnerabilități se numără printre mai multe probleme semnificative pe care le-am identificat deja și la care lucrăm pentru a le remedia. Ne așteptăm ca descoperirile similare să crească puternic în următoarele luni”.

Matthijs van Amelsfort, directorul agenției olandeze de securitate cibernetică, a explicat într-un interviu că apariția modelelor avansate a schimbat fundamental protejarea sistemelor. El anticipase această evoluție de la apariția lor și consideră că ea se manifestă acum. Caspers a formulat o așteptare similară: „Ne așteptăm ca acest lucru să se întâmple din ce în ce mai des în următoarele luni”.

## Verificarea actualizărilor revine administratorilor și furnizorilor de găzduire

Agențiile de securitate cibernetică recomandă instalarea corecției oferite de PHP Foundation. Aplicarea unui patch înseamnă instalarea actualizării care repară problema de securitate. Responsabilitățile diferă în funcție de rol:

Administratorii serverelor, site-urilor și blogurilor trebuie să verifice imediat în panoul de administrare dacă este instalată cea mai recentă versiune PHP corectată.

Organizațiile care cumpără găzduire trebuie să confirme aplicarea remedierilor cu furnizorul. Verificarea privește și site-urile mici realizate cu WordPress, sistemul de administrare a conținutului.

Vizitatorii nu trebuie să descarce o corecție PHP sau să modifice propriul calculator pentru această vulnerabilitate, deoarece limbajul rulează pe serverul care găzduiește pagina.

Van Amelsfort a rezumat intervenția cerută organizațiilor astfel: „Există trei lucruri pe care trebuie să le faceți chiar acum”. „Și acestea sunt: aplicați patch-uri, aplicați patch-uri și aplicați patch-uri”, a continuat el.