Vulnerabilități PHP recente: de ce actualizarea pe hosting nu mai e opțională

În ultimii ani, majoritatea incidentelor pe site-uri PHP nu au venit din „zero-day-uri exotice”, ci din versiuni rămase în urmă: PHP 7.4/8.0 fără patch-uri, extensii vechi sau plugin-uri care rulează pe runtime expirat. Pe hosting partajat și pe VPS, actualizarea PHP este cel mai ieftin control de securitate pe care îl poți aplica.

Ce tipuri de vulnerabilități apar frecvent

• Remote Code Execution (RCE) — prin parse greșit, upload sau librării compromise
• Bypass la filtrare — input care trece pe lângă validări incomplete
• Memory / DoS — request-uri care blochează workerii PHP-FPM
• Info disclosure — erori verbose, path disclosure, stack traces în producție

Ce verifici acum pe server

1. Rulezi cel puțin PHP 8.2+ (ideal 8.3/8.4) pe site-urile active.
2. display_errors este Off în producție; loghezi erorile privat.
3. Ai dezactivat funcții periculoase unde e posibil: exec, passthru, shell_exec (în funcție de aplicație).
4. Composer/lockfile-urile dependențelor sunt actualizate; nu lași librării abandonate.

Regulă practică: dacă PHP-ul site-ului nu mai primește security releases, tratează-l ca pe un risc deschis.