Fixurile sunt oficiale. Noi le aplicăm corect.
În octombrie 2026, PHP, Node.js și mai multe platforme au publicat corecturi pentru vulnerabilități critice. Te ajutăm să afli ce e expus la tine, să actualizezi fără întreruperi, să verifici dacă n-ai fost deja atacat și să muți aplicațiile vechi pe versiuni suportate.
Versiunile corectate pe 21 octombrie 2026
Ce s-a întâmplat
Node.js
21.10.2026Node.js a publicat corecturi pentru zece vulnerabilități, una cu execuție de cod la distanță. Liniile 18 și 20 au ieșit din suport și nu primesc fixul.
Nu inventăm soluții. Le aplicăm pe cele oficiale.
Pașii vin de la PHP, Node.js, DNSC și CERT-EU. Partea noastră e să-i aplicăm pe sistemele tale, cu backup înainte, test pe o copie și plan de revenire, exact cum lucrăm la propriile noastre servere.
Primul pas: aflăm unde ești
Înainte de orice actualizare, aflăm ce rulează, unde și în ce versiune. E primul pas cerut de DNSC, NCSC și FBI.
1.Inventarul de expunere
Lista completă a locurilor unde rulează PHP, Node.js, WordPress, GitLab sau NGINX: site-uri, subdomenii uitate, servere de test, aplicații interne, echipamente cu interfață web. Pentru fiecare, versiunea și cine răspunde de el.
Citește articolul2.Diagnosticul pe server
Cu acces la server: versiunea PHP folosită efectiv de serverul web, pachetul distribuției, setările de risc și jurnalele din 20 octombrie încoace. Răspunde la întrebarea pe care o verificare din afară nu o poate lămuri.
Citește articolulUrgență: reducem riscul imediat
Când actualizarea nu se poate face azi. Măsurile temporare cumpără timp, nu rezolvă problema, și îți spunem asta în scris.
3.Atenuarea de urgență
Aplicăm măsurile temporare publicate de echipa PHP: funcția de progres al încărcării oprită, limite pentru cereri, încărcări blocate unde nu sunt necesare, repornirea proceselor PHP.
Citește articolul4.Firewall de aplicație și serverul închis
Activăm un firewall de aplicație (de exemplu Cloudflare, care are reguli pentru PHP2Shell inclusiv în planul gratuit) și închidem accesul direct la server. Fără al doilea pas, filtrul poate fi ocolit, cum avertizează DNSC.
Citește articolul5.Pagina de avarie
O versiune statică temporară a site-ului (prezentare, contact, program), servită fără PHP, cât lucrăm la server. E alternativa la oprirea completă recomandată de NCSC și FBI.
Citește articolulActualizări: aplicăm fixul oficial
Fixurile sunt publicate de PHP și Node.js. Noi le aplicăm cu backup înainte, test pe o copie și plan de revenire.
6.Actualizarea PHP
PHP la 8.2.35, 8.3.36, 8.4.27 sau 8.5.12, cu repornirea proceselor și verificarea versiunii folosite efectiv. Recomandăm direct 8.4 sau 8.5, pentru că 8.2 iese din suport pe 31 decembrie 2026.
Citește articolul7.Actualizarea completă WordPress
Nucleul, temele, pluginurile și PHP, pe o copie de test întâi. Include UpdraftPlus la zi, ștergerea cheilor UpdraftCentral și verificarea compatibilității pluginurilor cu PHP 8.4 și 8.5.
Citește articolul8.Actualizarea magazinului online
WooCommerce, PrestaShop, Magento sau OpenCart, actualizate în afara orelor de vârf, cu fluxul de comandă și plată testat înainte și după.
Citește articolul9.Actualizarea Node.js
Aplicațiile pe liniile 22, 24 sau 26 trec la 22.23.4, 24.22.1 sau 26.12.1, cu imaginile reconstruite pe o versiune fixată, nu pe o etichetă mobilă. Am făcut același lucru pe site-ul nostru, pe 22 octombrie.
Citește articolul10.Containere și servere
Imagini de bază la zi, versiuni fixate în loc de „latest”, lista de autorități de certificare actualizată după incidentul eMudhra și toate imaginile reconstruite.
Citește articolulAm fost atacați? Verificăm și curățăm
Tentativele au început înainte de patch, deci actualizarea nu ajunge singură. Căutăm semnele publicate de DNSC.
11.Verificarea compromiterii
Fișiere noi sau modificate, setări PHP schimbate, sarcini programate și chei SSH noi, procese pornite de PHP, administratori noi, de la 20 octombrie încoace. Pe WordPress verificăm și urmele incidentului UpdraftCentral. Raportul spune ce am găsit și ce nu se poate exclude.
Citește articolul12.Curățarea și reconstrucția
Dacă sistemul e compromis: izolare, păstrarea dovezilor, reinstalare din surse curate, restaurare dintr-un backup verificat, schimbarea tuturor parolelor și cheilor și ajutor la raportarea către DNSC. Pentru obligațiile legale privind datele personale te îndrumăm spre un jurist.
Citește articolul13.Rotirea cheilor și secretelor
Inventarul cheilor (servicii AI, plăți, baze de date, registre, email), rotirea lor fără întreruperi și verificarea jurnalelor și a facturilor la furnizori. E răspunsul la incidentele Railway și LiteLLM.
Citește articolulVersiuni fără suport: portare, migrare, rescriere
PHP 8.1 și versiunile mai vechi, ca și Node.js 20 și mai vechi, nu primesc corecturile din octombrie. Alegem drumul după un audit, nu după un șablon.
14.Auditul de migrare
Pentru aplicațiile pe PHP 5, 7, 8.0 sau 8.1 ori pe Node.js 16, 18 sau 20: analiza codului și a dependențelor, estimarea efortului și recomandarea scrisă (actualizare, portare sau rescriere), cu motivele ei.
Citește articolul15.Puntea temporară
Cât se pregătește migrarea: corecturile minimale publicate de PHP pentru 7.4, 8.0 și 8.1, compilate din sursă, sau pachetele unui furnizor de suport extins, plus izolarea aplicației (VPN, rețea internă, firewall). E o punte, nu o soluție finală.
Citește articolul16.Portarea la o versiune suportată
Codul adaptat la PHP 8.4 sau 8.5 ori la Node.js 22 sau 24, cu dependențele înlocuite, teste automate acolo unde lipsesc și o mutare treptată, cu revenire posibilă. Aplicația și datele rămân ale tale; se schimbă temelia.
Citește articolul17.Rescrierea modernă
Când portarea ar costa mai mult decât o aplicație nouă: rescriere pe o tehnologie actuală, cu migrarea datelor și o perioadă de funcționare în paralel. Doar după audit, cu comparația de costuri în scris.
Citește articolulPrevenție: următorul val să nu fie o urgență
Valurile de vulnerabilități se repetă. Diferența o face cine se uită la sisteme înainte să fie urgent.
18.Igiena dependențelor și a accesului
Versiuni fixate și verificate, scanarea dependențelor la fiecare build, eliminarea pluginurilor și a conexiunilor de administrare la distanță nefolosite, autentificare în doi pași pentru administratori, drepturi minime pentru conturile de serviciu.
Citește articolul19.Mentenanța de securitate
Urmărim avizele DNSC, CERT-EU, PHP, Node.js și ale furnizorilor tăi, facem actualizări lunare și de urgență la avizele critice, verificăm backup-ul prin restaurări de probă și îți trimitem un raport lunar pe înțelesul managerului. Trei niveluri: site de prezentare, magazin online, aplicație.
Citește articolulCum lucrăm
- 1Aflăm ce rulează și în ce versiune.
- 2Reducem riscul imediat, dacă actualizarea nu se poate face azi.
- 3Aplicăm fixul oficial, cu backup și test.
- 4Verificăm dacă sistemul n-a fost deja atacat.
- 5Lăsăm în urmă un sistem întreținut, nu doar reparat.
Ce nu facem
Nu lucrăm pe echipamente de rețea și securitate (Cisco, Fortinet, Palo Alto), pe SAP sau pe Windows Server, și nu dăm consultanță juridică. Pentru acestea îți recomandăm specialiști, iar partea tehnică a aplicațiilor tale o putem face împreună cu ei.
Pe larg, pe blog
Ghiduri pe înțelesul managerului, scrise pe sursele oficiale.
Surse și resurse oficiale
Tot ce afirmăm pe pagina asta vine de aici. Recomandăm să le citești direct.
Nu știi de unde să începi?
Spune-ne ce site-uri sau aplicații ai și pe ce rulează. Îți răspundem cu primul pas potrivit și cu o ofertă clară.
Scrie-ne