Actualizare critică PHP: impactul asupra site-urilor WordPress și găzduirii

Actualizat la 21 octombrie 2026, ora 20:19 (ora României).

Pe 21 octombrie 2026, echipa PHP a publicat actualizări pentru două vulnerabilități critice care pot permite executarea de cod de la distanță, fără autentificare. Recomandarea este aplicarea imediată a corecțiilor. Anunțul oficial PHP.

PHP este componenta de pe server care rulează WordPress și multe alte aplicații web. De aceea, remedierea se face la nivelul serverului: actualizarea WordPress, a temei sau a pluginurilor nu înlocuiește actualizarea PHP. Comunicarea WordPress despre acest incident.

Ce înseamnă pentru site-ul tău

Vulnerabilitățile sunt identificate prin codurile CVE-2026-109618 și CVE-2026-109619. Ele afectează PHP, indiferent de aplicația construită cu el. Un site WordPress cu pluginurile la zi poate folosi în continuare o versiune PHP vulnerabilă.

Avertizarea PHP vizează instalațiile care procesează cereri web, inclusiv PHP-FPM, Apache cu mod_php și LiteSpeed. Riscul declarat este cel mai mare pentru mod_php, dar celelalte configurații trebuie și ele actualizate. Detaliile sunt în avizul PHP.

Existența vulnerabilității nu dovedește că un site a fost compromis. Ea impune însă remedierea, chiar dacă site-ul funcționează aparent normal.

Cine se ocupă de actualizare

Pentru serviciile administrate de BTS Telecom, ne ocupăm noi de aplicarea patch-urilor PHP. Aceasta este responsabilitatea noastră în administrarea serviciului; nu trebuie să instalezi tu pachetele de sistem.

Dacă îți administrezi singur VPS-ul, actualizarea revine ție sau administratorului serverului. Pentru un serviciu găzduit la alt furnizor, urmărește instrucțiunile acestuia privind actualizarea PHP.

Ce poți verifica în WordPress

Poți vedea versiunea PHP folosită de site în Unelte → Sănătate site → Informații → Server (Tools → Site Health → Info → Server). Acesta este traseul indicat în anunțul WordPress.

Nu schimba la întâmplare ramura PHP din panoul de găzduire. Aplicarea unei corecții de securitate pentru ramura folosită și migrarea aplicației la o ramură mai nouă sunt operațiuni diferite. În cazul unei migrări, pregătește un backup și verifică mai întâi compatibilitatea site-ului.

După actualizare, verifică funcțiile pe care se bazează activitatea ta: afișarea paginilor, autentificarea și formularele. Pentru un magazin, verifică și coșul și fluxul de comandă într-un mediu de test. Dacă observi erori, transmite suportului adresa paginii și pașii prin care apar.

Ce versiuni PHP conțin corecțiile

Proiectul PHP a publicat următoarele versiuni corectate:

Sursa: anunțul oficial PHP.

Pentru pachetele Linux sau cu suport extins, furnizorul poate integra corecția fără să folosească exact numărul din tabel. Administratorul verifică pachetul instalat și avizul corespunzător. PHP 8.1 și versiunile mai vechi nu mai au suport regulat din partea proiectului PHP; pentru acestea trebuie verificat suportul furnizorului sau planificată migrarea.

În ecosistemul cPanel/EasyApache și CloudLinux, disponibilitatea depinde de pachet și de sistemul de operare. CloudLinux a început publicarea unor pachete corectate, inclusiv alt-php74 pentru anumite platforme. Lista se actualizează în pagina de stare CloudLinux; publicarea unui pachet nu înseamnă instalarea sa automată pe fiecare server.

Dacă administrezi singur un VPS

Pentru fiecare site, identifică ramura PHP utilizată și sursa pachetelor. Instalează pachetele corectate conform instrucțiunilor furnizorului, repornește serviciile PHP relevante și verifică aplicațiile după intervenție. CloudLinux menționează explicit repornirea Apache, PHP-FPM sau LSAPI, în funcție de configurație, în instrucțiunile sale.

Verifică toate ramurile PHP active dacă serverul găzduiește mai multe aplicații. O singură versiune actualizată nu acoperă automat site-urile care folosesc alta.

Regulile WAF, inclusiv cele anunțate pentru Imunify360, oferă protecție temporară pentru anumite căi de atac. Ele nu înlocuiesc instalarea patch-urilor. Precizările CloudLinux.

Pentru întrebări despre serviciul tău administrat de BTS sau pentru probleme observate după actualizare, deschide un tichet de suport și indică domeniul afectat.