PHP2Shell a pus internetul în alertă. Trebuie să-ți retragi criptomonedele de pe exchange?

Miercuri, 21 octombrie, cine deschidea site-ul guvernului landului Hessa dădea peste un anunț de mentenanță. Scene asemănătoare se vedeau la Biroul Federal de Poliție Criminală din Germania, la câteva consilii locale britanice și chiar pe porțiuni din Wikipedia, deși niciunul dintre aceste site-uri nu fusese spart. Administratorii le scoseseră singuri din priză, de teama a două defecte din PHP botezate PHP2Shell.

Pentru cine are criptomonede, vestea nu justifică vânzarea și nici retragerea grăbită a fondurilor. Vulnerabilitățile PHP2Shell lovesc servere web, nu rețelele Bitcoin sau Ethereum și nici cheile private ținute offline. Până la data actualizării, niciun exchange mare nu a raportat public o breșă legată de ele, iar pașii utili țin de securitatea contului, nu de mutarea banilor.

Întrebarea a circulat în câteva ore pe forumuri și în grupurile de investitori: dacă o bună parte din internet e vulnerabilă, nu sunt în pericol și banii mei de pe exchange? Răspunsul ține de locul exact în care stă riscul, iar ca să-l găsești ai nevoie de câteva distincții pe care titlurile alarmiste le sar.

Ce este PHP2Shell și de ce a pus pe jar agențiile de securitate?

PHP2Shell este numele dat de cercetători unei perechi de vulnerabilități critice din PHP, CVE-2026-109618 și CVE-2026-109619, prin care un atacator poate rula cod pe un server fără să se autentifice. Echipa PHP a publicat corecturile pe 21 octombrie 2026, iar ambele defecte au primit scorul 9,2 din 10 pe scala CVSS v4.0, folosită pentru a nota gravitatea vulnerabilităților.

PHP este limbajul de programare care rulează pe server și construiește paginile afișate în browser. Pe el sunt construite WordPress și o bună parte din magazinele online mici. Potrivit statisticilor W3Techs, PHP apare la aproximativ 70% dintre site-urile al căror limbaj de server poate fi identificat. Cine a cumpărat vreodată ceva dintr-un magazin românesc făcut pe WooCommerce a trecut aproape sigur prin PHP fără să știe.

În limbajul de specialitate, acest tip de problemă se numește execuție de cod la distanță, prescurtat RCE, adică posibilitatea ca cineva aflat oriunde în lume să ruleze comenzi pe serverul altcuiva. Cuvântul „shell” din nume trimite la linia de comandă a serverului, locul din care un administrator controlează totul, iar un atacator care exploatează reușit PHP2Shell se poate purta, practic, ca un administrator, cu acces la fișiere și deseori la baza de date. Orice scor CVSS de peste 9 intră în categoria critică.

Două defecte vechi, scoase la lumină cu ajutorul inteligenței artificiale

Primul defect, CVE-2026-109618, ține de felul în care PHP se oprește când o cerere depășește limita de memorie. Procesul se întrerupe cu datele cererii pregătite doar pe jumătate, iar curățenia de după le tratează ca pe niște date valide. Al doilea, CVE-2026-109619, apare când informații ale unei cereri rămân agățate în memorie după ce spațiul lor a fost eliberat. Pentru un nespecialist, imaginea cea mai apropiată e un ghișeu unde, după plecarea unui client, îi rămân actele pe tejghea, la îndemâna următorului la rând.

Problemele nu sunt noi. Potrivit analizelor publicate de SentinelOne și Sansec, ele afectează aproape toate versiunile începând cu PHP 5.4, lansată în 2012. Noutatea din 2026 este felul în care au fost găsite. Cercetătorii de la Wiz și Calif au lucrat cu modele avansate de inteligență artificială, într-un audit finanțat de OpenAI. Într-o declarație pentru Help Net Security, Wiz a explicat că demonstrarea exploatării cerea un lanț de pași aflat la limita a ceea ce poate duce la capăt un cercetător uman și că modelele au coborât mult această barieră. Rezultatul a fost un exploit funcțional, adică un program care chiar folosește defectul.

O scurgere de informații a grăbit totul

Dezvăluirea coordonată era programată pentru 22 octombrie. Detaliile au început însă să circule pe forumuri pe 20 octombrie, așa că echipa PHP a adus publicarea actualizărilor cu o zi mai devreme, pe 21 octombrie la 14:00 UTC, adică 17:00 ora României. Versiunile corectate, anunțate în arhiva oficială de știri a proiectului PHP, sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Ramurile 8.1 și mai vechi nu mai primesc versiuni oficiale. Tocmai din cauza gravității, echipa de securitate a publicat totuși corecturi minimale de cod sursă pentru 7.4, 8.0 și 8.1, pe care administratorii trebuie să le compileze singuri.

Aici apare una dintre problemele mari. O numărătoare făcută cu motorul de căutare Shodan și publicată de firma Mallory pe 20 octombrie găsea circa 2,24 milioane de servere PHP expuse direct pe internet, iar 59% dintre ele rulau versiuni pentru care nu urma nicio corectură oficială. Pentru mulți operatori, problema nu se rezolvă cu un buton de actualizare. Ei au de migrat aplicații scrise uneori acum zece ani, de oameni care între timp au plecat din firmă.

Guverne care și-au închis singure site-urile

Reacția instituțiilor a fost neobișnuit de dură. NSA a cerut organizațiilor care folosesc PHP să instaleze imediat actualizarea, iar avizul comun al FBI și NSA recomandă ca sistemele care nu pot fi actualizate pe loc să fie scoase offline. Același aviz subliniază un detaliu trecut des cu vederea: corectura nu elimină un atacator care intrase deja în sistem înainte de ea. CISA a cerut și ea corectarea urgentă, precizând că la momentul publicării nu observase exploatări.

În Europa, CERT-EU a emis avizul de securitate 2026-018. În Germania, BSI a încadrat riscul la nivelul de alertă 3, portocaliu, și a recomandat deconectarea serverelor în caz de dubiu, iar centrul național olandez de securitate cibernetică și-a scos propriul site offline. În România, Directoratul Național de Securitate Cibernetică (DNSC) a publicat pe 21 octombrie alerta „Vulnerabilități critice în PHP”, cu ora lansării corecturilor și cu un avertisment pentru organizațiile care au aplicații PHP accesibile din internet.

Presa de specialitate a făcut imediat comparația cu Log4Shell, vulnerabilitatea din biblioteca Java Log4j descoperită în decembrie 2021, care a ținut echipele de securitate ocupate în plină perioadă a sărbătorilor. Diferența de acum este viteza. Cloudflare a anunțat că a observat trafic de atac îndreptat spre clienții săi și că, de la ora 3:02 UTC pe 21 octombrie, regulile sale de WAF blocau implicit vectorii de atac cunoscuți, inclusiv pe planul gratuit. Un WAF, prescurtarea de la web application firewall, este un filtru așezat în fața site-ului, care încearcă să oprească cererile rău intenționate înainte să ajungă la server. Tot în aceeași zi, firma watchTowr a semnalat primele încercări de exploatare, potrivit SecurityWeek, fără să confirme vreo reușită.

Ce legătură are o vulnerabilitate de server cu criptomonedele tale?

PHP2Shell poate atinge criptomonedele doar indirect, prin infrastructura web a firmelor care le păstrează sau le tranzacționează în numele tău. Rețelele în sine nu rulează PHP. Bitcoin Core este scris în C++, iar clienții Ethereum cei mai folosiți sunt scriși în limbaje precum Go sau Rust.

Un bloc de Bitcoin nu poate fi „spart” printr-un defect din PHP, după cum seiful unei bănci nu se deschide pentru că s-a stricat yala magazinului de alături. Un exchange modern seamănă însă mai mult cu un oraș decât cu un seif. În jurul sistemelor care țin banii se adună site-uri de prezentare și panouri interne pentru echipa de suport, iar unele dintre aceste piese periferice pot rula PHP. Platformele mari nu își publică arhitectura, așa că nimeni din afară nu poate spune precis ce componentă pe ce tehnologie funcționează.

Contează enorm unde stau banii. Un hot wallet este portofelul conectat permanent la internet, din care exchange-ul procesează retragerile de zi cu zi, pe când un cold wallet stă offline, cu cheile private pe dispozitive care nu ating rețeaua. Platformele serioase țin în cold storage majoritatea fondurilor clienților, tocmai ca un server compromis să nu poată ajunge la ele.

Istoria recentă arată totuși că drumul de la o problemă de infrastructură la un furt e cât se poate de real. Pe 24 septembrie 2026, Bitget a pierdut aproape 388 de milioane de dolari din mai multe hot wallets. Directoarea executivă Gracy Chen a explicat pentru Cointelegraph că un defect al unui produs de securitate livrat de o terță parte i-a permis atacatorului să obțină acreditări interne de nivel înalt, cu care a dat comenzi frauduloase de retragere. Cheile private și cold wallet-urile nu au fost compromise, spune compania. În februarie 2025, furtul de la Bybit, de circa 1,4 miliarde de dolari, pornise tot de la infrastructura unui furnizor, nu de la vreo slăbiciune a rețelei Ethereum. Registrul de atacuri al DefiLlama numără, până pe 20 octombrie 2026, pierderi de 2,344 miliarde de dolari din 304 incidente de securitate în acest an.

Unde stă de fapt riscul pentru un utilizator din România?

Pentru omul obișnuit, scenariul cel mai plauzibil este scurgerea de date, nu golirea contului. Să-l luăm pe Andrei, programator din Cluj, care are 0,05 BTC pe un exchange internațional. La înregistrare a încărcat fotografia buletinului și un selfie. Dacă un server periferic al platformei, de pildă cel care gestionează tichetele de suport, ar fi compromis, atacatorul nu ar pleca neapărat cu bitcoinii lui Andrei. Ar putea pleca însă cu datele lui personale și cu numărul de telefon.

Cu aceste informații, pasul următor devine un mesaj de phishing extrem de credibil sau o tentativă de SIM swap. În cazul din urmă, atacatorul convinge operatorul de telefonie să mute numărul victimei pe o cartelă controlată de el și primește astfel codurile de confirmare trimise prin SMS.

Paradoxal, riscul e mai mare la jucătorii mici. Un magazin online românesc care vinde portofele hardware sau un mic serviciu de schimb crypto, cu site pe WordPress, are mai multe șanse să ruleze o versiune veche de PHP decât o platformă cu sute de ingineri de securitate. Dacă un asemenea site acceptă plăți în criptomonede printr-un plugin, un server compromis poate înlocui adresa de încasare afișată la finalizarea comenzii, iar clientul ajunge să plătească direct atacatorului.

Rămâne o distincție simplă, pe care titlurile o pierd adesea: o vulnerabilitate de infrastructură nu este o breșă confirmată. Existența PHP2Shell nu dovedește că un anumit exchange a fost spart, așa cum un defect de fabricație al unei mărci de lacăte nu înseamnă că ți-a intrat cineva în casă.

Merită să retragi fondurile de pe exchange chiar acum?

Retragerea tuturor criptomonedelor de pe exchange doar din cauza PHP2Shell nu are, la această dată, o justificare concretă și vine cu riscuri proprii. Mutarea fondurilor reduce expunerea la problemele unei platforme anume, dar adaugă altele, de la erori de rețea la siguranța portofelului în care ajung banii.

Să luăm cazul Mariei din Iași, care are 2.000 de USDT pe un exchange și dă noaptea, pe telefon, peste un titlu despre „atacul PHP”. Hotărăște să-i mute imediat într-un portofel instalat cu cinci minute în urmă și, în grabă, alege o rețea pe care portofelul nu o suportă pentru adresa respectivă. În acest caz, recuperarea poate fi dificilă sau imposibilă. Mai rău ar fi să lipească o adresă care seamănă cu a ei, copiată din istoricul de tranzacții. Tehnica se numește address poisoning: atacatorul trimite sume minuscule de pe adrese care seamănă la început și la sfârșit cu cele obișnuite ale victimei, în speranța că aceasta le va copia din greșeală. Banii trimiși așa sunt pierduți definitiv. Niciunul dintre scenarii nu are legătură cu PHP2Shell, ci cu panica.

Mai rămâne partea de după. Într-un portofel non-custodial deții singur cheile, așa că toată responsabilitatea trece pe umerii tăi. Fraza de recuperare, numită și seed phrase, este setul de 12 sau 24 de cuvinte din care pot fi reconstruite toate cheile portofelului. Fotografiată cu un telefon care își face automat backup în cloud, ea mută riscul de pe serverele unui exchange pe cele ale furnizorului de cloud, cu mai puține garanții. Mulți dintre cei care și-au pierdut criptomonedele au căzut victimă unei fraze de recuperare păstrate prost, nu unui exchange spart.

Asta nu face din autocustodie o idee proastă. Pentru sumele mari ținute pe termen lung, un hardware wallet cumpărat dintr-o sursă sigură rămâne o soluție solidă, iar vechea vorbă din comunitate, „not your keys, not your coins”, are acoperire în istorie, de la Mt. Gox în 2014 la FTX în 2022. Diferența e între o mutare planificată într-o zi liniștită, începută cu o tranzacție de test pe o sumă mică, și una făcută la două noaptea, sub impulsul unui titlu.

Când devine mutarea fondurilor o decizie justificată?

Retragerea are sens atunci când platforma confirmă un incident care afectează activele clienților sau suspendă retragerile fără explicații clare. La fel stau lucrurile dacă vezi în cont activitate pe care nu o recunoști ori ai motive să crezi că datele de acces au ajuns la altcineva. În asemenea momente, prioritatea este să urmezi instrucțiunile venite din aplicație sau de pe domeniul real al platformei și să afli exact ce a fost expus înainte de a muta bani.

Cadrul european ajută aici mai mult decât acum câțiva ani. Regulamentul MiCA obligă furnizorii autorizați de servicii cu criptoactive să păstreze activele clienților separat de cele proprii, iar regulamentul DORA, aplicabil din 17 ianuarie 2025, le cere să raporteze autorităților incidentele informatice majore. Înainte să te bazezi pe o platformă, poți verifica în registrul ESMA dacă are autorizație MiCA și în ce țară a obținut-o.

Vânzarea în panică are un cost pe care îl vezi abia la declarația fiscală

A vinde criptomonede din cauza PHP2Shell înseamnă a reacționa la un eveniment de securitate cibernetică ca la unul de piață, deși cele două nu sunt același lucru. O vulnerabilitate de server nu dovedește că bitcoinul sau etherul trebuie să scadă, iar piața a tratat-o ca atare. În dimineața zilei de 24 octombrie, potrivit cotațiilor afișate de Cryptonews, bitcoinul se tranzacționa în jurul a 81.700 de dolari, aproape nemișcat față de ziua anterioară.

Pentru un investitor din România, vânzarea are și o consecință fiscală concretă. Legea 239/2025 a urcat de la 10% la 16% impozitul pe câștigurile din transferul monedelor virtuale, pentru veniturile obținute începând cu 1 ianuarie 2026. Să presupunem că ai cumpărat în primăvară bitcoin de 30.000 de lei și îl vinzi acum, speriat, cu 38.000 de lei. Câștigul de 8.000 de lei înseamnă un impozit de 1.280 de lei, care se declară prin declarația unică până pe 25 mai 2027. Peste el se pot adăuga contribuția de asigurări de sănătate, în funcție de totalul veniturilor, și comisioanele platformei. Dacă peste două săptămâni, mai liniștit, cumperi înapoi la un preț mai mare, ai plătit de fapt o taxă pe frică.

Nici episoadele trecute nu arată altceva. Log4Shell, din decembrie 2021, a fost probabil cea mai mediatizată vulnerabilitate a deceniului trecut și nu a rămas în memoria pieței ca factor de preț pentru bitcoin. Prețurile se mișcă violent când e lovit chiar activul, cum s-a întâmplat la prăbușirea Terra din mai 2022, sau când cade o platformă uriașă, ca FTX în noiembrie același an. Un defect în limbajul de programare al unor site-uri nu intră, cel puțin deocamdată, în niciuna dintre aceste categorii.

Cazul Ledger și CryptoBilis, o problemă diferită cu o lecție asemănătoare

Incidentul Ledger din 9 și 10 octombrie nu are nicio legătură tehnică cu PHP2Shell, dar arată că și portofelele hardware pot fi compromise, de data asta prin lanțul de aprovizionare. Pe 10 octombrie, Ledger a confirmat că dispozitivul unuia dintre utilizatorii afectați conținea un implant hardware neautorizat. Aparatele în cauză fuseseră cumpărate prin CryptoBilis, revânzător oficial pentru Indonezia, Malaezia și Filipine.

Implantul a fost găsit de Mark Karpelès, fostul director executiv al Mt. Gox, care a descris pe X cum astfel de dispozitive de spionaj au evoluat de la câteva fire lipite manual la plăci de circuit produse în serie, făcute să se confunde cu hardware-ul original. Firma de analiză Bitquery a estimat inițial pierderi de 92,9 milioane de dolari din 311 portofele de pe cinci blockchainuri, apoi a urcat cifra la 93,2 milioane, din 315 portofele de pe șase rețele, cele mai multe pe Tron. Ledger nu a confirmat suma, nu a spus câte dispozitive au implantul și nu a legat explicit implantul de furturi, așa că legătura rămâne foarte plauzibilă, dar nedovedită. Recomandarea companiei a fost directă: cine a cumpărat un Ledger de la CryptoBilis în ultimele 90 de zile și nu l-a configurat încă nu ar trebui să o mai facă.

Ce înseamnă pentru cine cumpără un hardware wallet din România?

Pentru cititorul din România, lecția e simplă și puțin incomodă. Un hardware wallet e la fel de sigur ca drumul pe care a ajuns până la tine. Cumpărat direct din magazinul producătorului sau de la un distribuitor listat oficial pe site-ul acestuia, riscul e mic. Luat la mâna a doua de pe OLX sau dintr-o ofertă prea bună ca să fie adevărată, riscul crește vizibil. Un dispozitiv care vine cu fraza de recuperare deja tipărită pe un cartonaș este, fără excepție, o capcană, pentru că portofelele legitime generează fraza în fața ta, la prima pornire. Aplicațiile oficiale ale producătorilor au și verificări de autenticitate, pe care e bine să le rulezi de fiecare dată.

PHP2Shell și cazul Ledger ajung, pe drumuri diferite, în același loc. Siguranța criptomonedelor se decide rareori pe blockchain și mult mai des în jurul lui, pe serverele firmelor și în obiceiurile fiecărui utilizator.

Ce poți face concret în următoarele zile?

Cea mai bună protecție împotriva efectelor indirecte ale PHP2Shell ține de igiena contului, nu de mutarea banilor. Câteva minute petrecute în setările de securitate ale exchange-ului valorează mai mult decât orice retragere făcută în grabă.

Începe cu autentificarea în doi pași. Dacă primești încă codurile prin SMS, treci pe o aplicație de autentificare sau, și mai bine, pe o cheie fizică de securitate, fiindcă SMS-ul este exact veriga pe care o atacă SIM swap-ul. Activează apoi lista albă de adrese de retragere, funcția prin care banii pot pleca doar către adrese aprobate dinainte, de obicei cu o perioadă de așteptare pentru cele noi. Multe platforme oferă și un cod anti-phishing, un cuvânt ales de tine care apare în toate e-mailurile autentice. E bine să-l setezi, pentru că un mesaj care nu îl conține nu vine de la platformă.

Uită-te și la cheile API. O cheie API este o parolă specială prin care o aplicație externă accesează contul tău, iar mulți români care folosesc boți de trading sau aplicații de urmărire a portofoliului au creat la un moment dat chei pe care le-au uitat. Dacă serviciul respectiv rulează pe un server vulnerabil, cheia ta se află acolo. Șterge-le pe cele nefolosite și scoate dreptul de retragere la cele rămase.

Pentru portofelele proprii, instalează actualizările doar din magazinele oficiale sau de pe site-ul producătorului și verifică aprobările de tokenuri date cândva unor aplicații descentralizate, cu un instrument de revocare de tipul revoke.cash. Interfața compromisă a unei aplicații DeFi poate cere o semnătură aparent banală, care golește portofelul, așa că verifică pe ecranul dispozitivului ce semnezi, înainte de a confirma.

Și nu introduce niciodată fraza de recuperare pe un site sau într-o conversație cu cineva care se prezintă drept suport tehnic. Astfel de episoade aduc aproape mereu un val de mesaje false, de tipul „contul tău a fost afectat de vulnerabilitatea PHP, verifică-ți portofelul aici”. Nicio platformă serioasă nu îți cere fraza de recuperare, din niciun motiv.

Dacă ai un site sau un magazin online făcut pe PHP

Mulți cititori au, pe lângă criptomonede, și o mică afacere online. Dacă magazinul tău rulează pe WooCommerce sau PrestaShop ori ai un blog pe WordPress, intră în panoul de găzduire și verifică versiunea de PHP. Dacă e mai veche decât corectura de pe ramura ta, cere-i furnizorului de hosting actualizarea sau fă-o singur din cPanel. Apoi asigură-te că procesele PHP au fost repornite, altfel vechea versiune continuă să ruleze în memorie.

Cine folosește încă PHP 7.x sau 8.1 are în față o migrare, nu o simplă actualizare, iar până atunci site-ul ar trebui izolat. Un firewall gratuit, cum este cel oferit de Cloudflare, ajută ca soluție temporară, însă nu ține locul corecturii, iar cererile care ajung direct la server, ocolindu-l, nu sunt filtrate.

Dacă site-ul acceptă plăți în criptomonede, verifică manual, după actualizare, că adresa de încasare afișată clienților este cea corectă și că nu au apărut fișiere sau conturi de administrator necunoscute. Avertismentul FBI și NSA e valabil și pentru un magazin din Brașov: corectura închide ușa, dar nu dă afară pe cine a intrat deja.

Semnalele care cer o reacție imediată

Un anunț oficial de incident venit de la platforma ta sau suspendarea retragerilor sunt primele semnale care te scot din modul de așteptare. La fel trebuie tratate alertele de autentificare de pe dispozitive necunoscute și e-mailurile de schimbare a parolei pe care nu le-ai cerut. În asemenea cazuri, începe prin a schimba parola și a închide toate sesiunile active. Regenerează apoi codurile de autentificare și ia legătura cu suportul doar din aplicația oficială. Dacă ai dovezi credibile că fraza de recuperare a unui portofel propriu a fost expusă, creează un portofel nou, cu o frază nouă, pe un dispozitiv de încredere, și mută acolo tot ce a rămas.

Ce urmează după valul de actualizări?

Săptămânile următoare vor arăta cât de mare a fost de fapt PHP2Shell, pentru că pagubele produse de vulnerabilitățile de acest tip ies la iveală de obicei cu întârziere. Serverele compromise înainte de corectură pot rămâne luni întregi cu un backdoor, adică o cale de acces ascunsă lăsată de atacator, iar companiile își anunță incidentele în valuri, uneori mult după eveniment.

Firmele de securitate se așteaptă la exploatări în masă. Sansec estimase că ele vor începe în primele 15 minute de la publicarea corecturilor, iar Fastly a declarat chiar în ziua lansării că vede dovezi de atacuri active în rețeaua sa. Este foarte posibil ca, în perioada următoare, unele platforme crypto, mai ales cele mici, să anunțe incidente legate de servere rămase în urmă cu actualizările. Atunci va conta sursa informației, adică comunicatul oficial al platformei, nu o captură de ecran distribuită pe un grup de Telegram.

Până atunci, întrebarea din titlu are un răspuns mai puțin spectaculos decât sugerează panica de pe rețelele sociale. PHP2Shell este o problemă serioasă pentru cei care administrează servere și una indirectă pentru cei care dețin criptomonede. Pentru aceștia din urmă, protecția reală vine dintr-un cont bine securizat și din reacția rapidă la o expunere confirmată, nu din vânzarea grăbită a ceea ce au strâns în ani.

Întrebări frecvente