Zilele astea toată presa tech urlă la unison: php2shell, node2shell, atacuri cu AI, apocalipsa. Dacă le crezi pe toate, internetul trebuia să fie deja mort de vreo trei ori săptămâna trecută.
Hai să vorbim serios.
Ce este php2shell, pe limba tuturor
PHP e limbajul care ține în spate cam 70% din web: WordPress, Drupal, Joomla, magazine online, firme de contabilitate, primării. E vechi, e plictisitor, merge.
În octombrie 2026 au apărut două găuri critice în PHP, botezate php2shell: CVE-2026-109618 și CVE-2026-109619 (CVE = codul oficial sub care e înregistrată o gaură de securitate), ambele cu scor 9.2 din 10. Pe scurt, în anumite condiții, un atacator fără cont poate trimite o cerere specială și poate ajunge la execuție de comenzi de la distanță — adică să ruleze comenzi pe server, să citească parole, să fure baze de date sau să preia site-ul.
Atât. Asta e tot. Restul e ambalaj.
Găurile au fost găsite cu ajutor AI (Calif, OpenAI, Wiz sunt creditați), iar rezolvarea e în versiunile 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35. Dacă ai PHP la zi, ești ok.
Ce zice presa?
Citez din memorie, că le-am văzut peste tot:
Octombrie negru. Cea mai mare amenințare din istoria internetului, cunoscută de 22 de ani. AI a transformat-o în criză în 2 zile. Milioane de site-uri vulnerabile.
Sună a sfârșit de lume. Doar că o versiune veche nu înseamnă automat și site spart. Asta e prima chestie pe care presa o sare.
Care e de fapt realitatea?
Oamenii de la Tenable au făcut testul corect: au lăsat 5 site-uri vulnerabile intenționat online, să vadă dacă pică. Rezultat după o săptămână de scanări masive: zero sparte. Încercări multe, spargeri zero.
De ce? Pentru că php2shell nu e ca Log4Shell (gaura celebră din 2021, unde trimiteai un text scurt într-un formular și dacă site-ul îl nota undeva, îl spărgeai — același text mergea peste tot).
La php2shell e un lanț de greșeli de memorie în mai multe etape. Ca să iasă spargerea, atacul trebuie croit exact pe serverul țintă: cum e instalat PHP-ul, ce setări are, cum e configurat. Ce merge pe un calculator de test nu merge copy-paste pe altul.
Greu, dar nu imposibil. Cu timp și cu AI care scurtează căutarea, un atacator serios poate reuși pe o țintă anume. Și s-a și reușit pe sisteme de test și pe echipamente de rețea unde toate cutiile au același soft — acolo reglezi o dată atacul și lovește tot parcul. Se vorbește de 25 de servere de firewall picătoare prin legarea php2shell cu o altă gaură de Linux. De aia CISA (agenția americană de securitate cibernetică) le-a trecut în KEV — adică în lista oficială de găuri confirmate ca fiind deja folosite în atacuri reale, cu termen de reparare obligatoriu pentru instituții.
Și da, pe GitHub au apărut sute de programe de test false — PoC (proof-of-concept, adică demonstrație că o gaură chiar poate fi folosită) — o parte cu viruși în ele. Iar un asistent AI a anunțat o spargere care de fapt era altă problemă dintr-un laborator. Deci AI ajută, dar și inventează.
Concluzia lor, pe care o susțin: repari acum interfețele de management expuse la net, echipamentele și PHP-urile vechi și neîngrijite. Restul în ritm critic normal. Nu în panică.
La fel și cu node2shell (numit și HTTP2Shell): o greșeală în programul de despachetare Brotli de la Google, folosit de Node.js, Python și altele, înregistrată ca CVE-2026-111497. S-a arătat că se poate ajunge la comenzi pe server, iar rezolvarea e versiune nouă + restart / refacere containere. Serios, dar nu apocalipsă.
Cod plictisitor care merge. Foto: Unsplash, folosire liberă.
Povestea cu amicul meu și cele 7 limbaje
Îi răspundeam zilele astea cuiva pe LinkedIn și mi-am adus aminte: nu am înțeles niciodată graba unora spre tehnologiile noi, gen nodejs. Înainte să mă apuc eu de cod, am plătit un prieten să-mi facă o aplicație. După un an n-a livrat nimic și schimbase 7 limbaje, fugărind noutatea. Până la urmă am făcut-o singur, fără experiență, în php.
De ce aveam nevoie? De o aplicație web de raportare, un fel de utilitar pe telefon, legat la baza de date a casei de marcat dintr-un magazin, să văd vânzările — cât s-a vândut, cât cash, cât card, pe grupe, pe TVA. Simplu pe hârtie.
Omul a fugărit un an noutatea. Livrat: zero.
Până la urmă am făcut-o singur, în PHP, fără experiență, fără AI. A ieșit un fel de program online tip abonament (cloud SaaS) legat la baza de date SQL a casei. Mai târziu, ca angajat la ABC Soft, am dus ideea mai departe în soluția dezvoltată intern Stoc Manager Online, legată la baza de date de la ABC Soft POS Manager — vânzări pe bon fiscal / factură, grupe valoric și procentual, TVA la zi și în perioadă, adaos, stoc, prețuri, facturi, inventar, listă de comandă. Acces de pe orice telefon / tabletă / laptop cu net.
N-a fost sexy. A fost plictisitor. Și a mers. Și merge și azi.
De ce vă zic asta acum?
Pentru că e aceeași boală: goana după nou în loc de terminat și întreținut.
PHP e mort de 15 ani în discurs. Node e viitorul de 10 ani. Atacurile cu AI sunt sfârșitul de azi. Între timp toate pica pe aceeași clasă de probleme vechi. Diferența nu o face limbajul cool, o face disciplina plictisitoare: pui versiunea nouă, repornești, limitezi ce e expus direct.
Nu zic să ignori php2shell și node2shell. Zic să le pui în ordine:
1. Ce e direct pe net + ce e vechi și neîngrijit — acum.
2. Restul — în ritm normal, cu update și restart.
3. Fără programe de test luate de pe net și rulate pe serverul bun. Verifici sursa.
4. Fără rescris totul de frică. Nu salvezi nimic dacă sari 7 limbaje într-un an.
Internetul nu se termină săptămâna asta. Se termină doar răbdarea celor care întrețin lucruri în timp ce alții vânează noutăți.
Pui versiunea nouă. Repornești. Mergi mai departe.