Black October: ce s-a întâmplat în octombrie 2026 și ce trebuie să facă firma ta

Între 17 și 22 octombrie 2026 s-au adunat atâtea vulnerabilități critice și atacuri, încât presa internațională a numit perioada „Black October” (octombrie negru). Cea mai gravă problemă pentru firmele din România se numește PHP2Shell: două breșe în PHP, limbajul pe care rulează, după unele estimări, aproape 70% dintre site-urile lumii, inclusiv cele făcute în WordPress.

În România, Directoratul Național de Securitate Cibernetică (DNSC) a emis o alertă chiar pe 21 octombrie, iar apoi a notificat 17.416 instituții publice. Dacă firma ta are un site, un magazin online, un NAS sau un firewall, merită să verifici acum câteva lucruri. Mai jos explicăm pe scurt ce s-a întâmplat și ce trebuie făcut.

Ce este Black October?

Black October nu este un singur atac, ci un șir de incidente și de vulnerabilități critice anunțate în câteva zile. Cele mai importante:

• PHP2Shell (21 octombrie): două vulnerabilități în PHP prin care un atacator poate rula cod pe server fără să se autentifice. Le explicăm mai jos.
• Brotli (21 octombrie): o vulnerabilitate în biblioteca de decompresie Brotli, folosită, între altele, de Node.js, Firefox și Thunderbird. Node.js a publicat actualizări în aceeași zi.
• LiteLLM (21 octombrie): o versiune infectată (1.107.0) a acestei biblioteci, folosite pentru a conecta aplicațiile la modele AI, a fost publicată pentru scurt timp pe PyPI și pe Docker Hub. Programul ascuns în ea fura parolele salvate în browser, cheile de acces la serviciile cloud și cheile API ale serviciilor AI.
• GitLab (21 octombrie): o vulnerabilitate care permite, în anumite condiții, rularea de cod pe serverele GitLab instalate în firmă.
• Oracle E-Business Suite (20 octombrie): o breșă de tip SQL injection, exploatabilă fără autentificare, care poate da acces la datele financiare, de salarizare și de resurse umane.
• EDK II (22 octombrie): o vulnerabilitate în firmware-ul UEFI, codul care pornește calculatorul înaintea sistemului de operare. Poate fi exploatată la pornirea din rețea (PXE), deci privește mai ales serverele; sistemele care pornesc doar de pe discul local nu sunt afectate.
• eMudhra (17 octombrie): cheile private a opt certificate intermediare ale autorității de certificare indiene eMudhra s-au dovedit slabe. Chrome și Firefox le-au blocat, iar pe 22 octombrie eMudhra a anunțat că renunță la certificatele SSL/TLS.

Lista completă, cu sursele, e pe pagina Wikipedia despre Black October.

Ce este PHP2Shell și de ce e cea mai gravă?

PHP2Shell este numele dat de cercetătorii Wiz celor două vulnerabilități, CVE-2026-109618 și CVE-2026-109619, ambele evaluate drept critice (scor CVSS 9,2). Wiz și firma Calif le-au descoperit în august, cu ajutorul unor modele AI de la OpenAI și Google, și le-au raportat echipei PHP.

Problema nu e în WordPress sau în pluginuri, ci în interpretorul PHP, adică programul care rulează pe server codul site-ului. În cazul cel mai grav, atacatorului îi ajunge o singură cerere, fără parolă, ca să ruleze cod pe server, chiar înainte să se execute codul site-ului. Wiz a demonstrat atacul pe site-uri WordPress, Drupal și Joomla. Vulnerabilitățile pot scoate la iveală și date din memoria serverului, de pildă parole, chei API sau certificate.

Echipa PHP a publicat corecturile pe 21 octombrie, în versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Versiunile 8.1 și mai vechi nu mai sunt întreținute de echipa PHP: pentru ele există doar corecturi minimale în codul sursă (pentru 7.4, 8.0 și 8.1) sau pachetele unor furnizori de Linux. Iar serverele cu versiuni vechi sunt multe: potrivit unei scanări a internetului citate de Recorded Future, aproape 8 din 10 servicii PHP care își afișează versiunea rulează o versiune fără suport.

Atacurile au început înaintea corecturilor. Amazon a înregistrat o încercare de exploatare încă din 17 octombrie, cu patru zile înainte de anunțul oficial. Detaliile tehnice au ajuns pe internet cu câteva ore înainte de publicarea actualizărilor, iar firmele de găzduire au raportat atacuri chiar în dimineața zilei de 21 octombrie.

Securitate IT: vreau detalii →

Firma mea e afectată de PHP2Shell?

Orice server care rulează o versiune neactualizată de PHP și răspunde la cereri web e vulnerabil. Iar PHP se ascunde în mai multe locuri decât pare:

• site-ul și magazinul online, dacă sunt făcute în WordPress, WooCommerce, Joomla, Drupal, PrestaShop, OpenCart sau Magento;
• aplicațiile web interne, de pildă un CRM, un intranet, phpMyAdmin sau o aplicație de pontaj instalată pe un server al firmei;
• NAS-urile: Synology a publicat prin Package Center actualizări de PHP pentru aplicații precum Web Station, WordPress, MailStation și Calendar (MailStation se actualizează manual), iar QNAP a publicat actualizări pentru QTS, QuTS hero și QuTScloud;
• firewall-urile și alte echipamente cu interfață web de administrare: Palo Alto Networks, de exemplu, a anunțat că interfața web de administrare a firewall-urilor sale (PAN-OS) e afectată.

Două capcane frecvente:

1. Actualizarea WordPress-ului sau a pluginurilor nu rezolvă problema. Trebuie actualizat PHP-ul de pe server.
2. Numărul versiunii poate înșela. Distribuțiile Linux corectează pachetele fără să schimbe versiunea afișată: pe Ubuntu 24.04, de pildă, pachetul corectat raportează tot PHP 8.3.6. Verificarea se face în jurnalul de modificări al pachetului (changelog), după codurile CVE.

Ce trebuie să faci acum?

1. Actualizează PHP pe toate serverele, la una dintre versiunile corectate sau la pachetul corectat al distribuției, apoi repornește serviciile PHP (PHP-FPM, Apache). Până la repornire, serverul folosește în continuare codul vechi.
2. Cere confirmarea în scris de la firma de găzduire sau de la agenția care îți întreține site-ul: ce versiune de PHP rulează acum și când a fost actualizată. Pe găzduirea partajată (shared hosting), actualizarea o face furnizorul.
3. Fă lista echipamentelor cu interfață web (NAS, firewall, router, camere, imprimante) și instalează actualizările producătorului. Până atunci, nu le lăsa accesibile din internet: oprește redirecționarea porturilor (port forwarding) și UPnP pe router, folosește VPN pentru accesul de la distanță și permite accesul la interfața de administrare doar din rețeaua firmei.
4. Dacă nu poți actualiza imediat, restrânge accesul din internet, pune site-ul în spatele unui firewall de aplicații web (WAF) sau scoate temporar sistemul din funcțiune, cum recomandă centrul britanic de securitate cibernetică (NCSC). Cloudflare a activat reguli de protecție pentru toate conturile, inclusiv pentru cele gratuite. Setările temporare din php.ini (de pildă session.upload_progress.enabled=0) blochează doar unele căi de atac: nu înlocuiesc actualizarea.
5. Verifică jurnalele serverelor cel puțin de la 17 octombrie încoace: cereri neobișnuite, erori PHP și procese oprite brusc, comenzi rulate fără motiv, fișiere noi în folderele site-ului. Dacă găsești semne de compromitere, schimbă parolele și cheile API care au trecut prin acel server și pornește planul de răspuns la incidente.
6. Actualizează browserele, clientul de e-mail și aplicațiile Node.js. Pentru Node.js, versiunile corectate sunt 26.12.1, 24.22.1 și 22.23.4.
7. Dacă echipa ta folosește LiteLLM, verifică dacă versiunea 1.107.0 a fost instalată pe 21 octombrie. Dacă da, reinstalează de la zero mediul afectat și schimbă toate parolele și cheile expuse.
8. Verifică backupul: trebuie să existe o copie a datelor în afara rețelei, pe care un atacator nu o poate șterge sau cripta, iar restaurarea trebuie testată. Detalii în articolul despre regula de backup 3-2-1.

Și, ca regulă generală: autentificare în doi pași pe conturile importante și un manager de parole, ca o parolă furată de pe un server să nu deschidă și alte conturi.

De ce s-au adunat atâtea breșe într-o singură lună?

Motivul principal este inteligența artificială. Modelele AI avansate găsesc vulnerabilități mult mai repede decât era posibil până de curând: PHP2Shell a fost descoperită cu ajutorul AI, breșa din Brotli a fost raportată de echipa OpenAI Codex Security, iar cea din EDK II de cercetători de la Anthropic și Google. Chris Krebs, fostul director al agenției americane de securitate cibernetică (CISA), a declarat pentru CNBC că 3% dintre toate vulnerabilitățile critice descoperite vreodată au fost găsite în ultima lună. Jason Clinton, adjunctul șefului securității de la Anthropic, se așteaptă ca situația să se înrăutățească înainte să se îmbunătățească.

Pentru firme, concluzia e simplă: vulnerabilitățile critice vor apărea mai des și vor fi exploatate mai repede. Actualizările instalate „când avem timp” nu mai ajung. Contează să știi ce echipamente și programe ai, să le actualizezi în câteva zile, nu în câteva luni, și să înlocuiești ce nu mai primește actualizări (vezi articolul despre tehnologiile end of life (EOL)).

Ce înseamnă Black October pentru firmele care intră sub NIS2?

Firmele care intră sub incidența Directivei NIS2 (în România, OUG 155/2024) trebuie să gestioneze riscurile de securitate și să raporteze incidentele semnificative la DNSC, cu o primă avertizare în cel mult 24 de ore. Un server compromis prin PHP2Shell poate fi un astfel de incident. Dacă nu știi dacă firma ta intră sub NIS2 sau ce ai de făcut, te ajutăm prin Consultanță IT.

Cum te ajută RezolvIT?

• Pe abonamentul Business Unlimited, calculatoarele și serverele sunt monitorizate 24/7 și actualizate automat, prin MspCoreX. Detalii pe pagina Mentenanță IT.
• La cerere, facem scanări de vulnerabilități și teste de securitate IT.
• Prin #BackupUșor, backupul e configurat și monitorizat de echipa noastră, local sau în cloud.
• Intervenim în 15 minute la telefon, într-o oră de la distanță și în 2 – 4 ore la sediu, în toată țara.

Ce e de reținut: Black October a arătat că vulnerabilitățile critice apar acum mai des și sunt exploatate în câteva ore. Actualizează PHP-ul și echipamentele cu interfață web, verifică jurnalele din 17 octombrie încoace și asigură-te că ai un backup din care poți reporni. Dacă vrei să știi cum stă firma ta, cere un Audit IT gratuit: primești inventarul echipamentelor, lista riscurilor și recomandări concrete.