17.416 instituții publice, avertizate asupra unei vulnerabilități informatice critice. Cât de sigure sunt datele românilor?

ALERTĂ CIBERNETICĂ ÎN ADMINISTRAȚIA ROMÂNEASCĂ

Aproape 17.500 de instituții publice din România au fost avertizate asupra unor vulnerabilități informatice critice care, în anumite condiții, pot permite atacatorilor să execute comenzi pe servere fără să dețină date de autentificare.

Directoratul Național de Securitate Cibernetică (DNSC) a confirmat că 17.416 entități din sectorul public au primit notificări privind vulnerabilitățile cunoscute sub numele PHP2Shell.

Informațiile au fost făcute publice în urma solicitărilor adresate autorităților de agenția News.ro și au fost relatate în presa națională la 28 octombrie 2026.

Este una dintre cele mai ample acțiuni preventive de notificare privind securitatea informatică a instituțiilor publice românești.

Lista entităților vizate cuprinde instituții din administrație, educație, sănătate, finanțe, transporturi, energie, comunicații și asistență socială.

Avertizarea ridică o întrebare esențială: cât de bine sunt protejate sistemele informatice prin care statul gestionează informațiile cetățenilor?

Trebuie făcută însă o distincție fundamentală. Cele 17.416 instituții au fost notificate cu privire la un risc. Aceasta nu înseamnă că toate folosesc versiuni vulnerabile, că au fost atacate sau că datele lor au fost furate.

 CE ESTE PHP2SHELL ȘI DE CE REPREZINTĂ UN RISC MAJOR?

PHP este un limbaj de programare utilizat pe scară largă pentru dezvoltarea aplicațiilor și paginilor web.

Numeroase platforme informatice folosesc PHP pentru a procesa cereri, pentru a comunica cu baze de date și pentru a furniza servicii utilizatorilor.

Pe 21 octombrie 2026, echipa de securitate PHP a publicat actualizări care remediază două vulnerabilități critice, identificate prin codurile CVE-2026-109618 și CVE-2026-109619.

Acestea sunt cunoscute public sub denumirea PHP2Shell.

Potrivit DNSC, vulnerabilitățile au un scor de severitate de 9,2 din 10, conform sistemului CVSS 4.0.

În anumite configurații, un atacator poate exploata vulnerabilitatea pentru a executa cod de la distanță, fără autentificare prealabilă.

Pe înțelesul tuturor, un server vulnerabil poate ajunge să execute instrucțiuni transmise de o persoană neautorizată.

Consecințele depind de configurația sistemului, de drepturile procesului afectat și de măsurile de protecție deja existente.

Riscurile pot include acces neautorizat, modificarea informațiilor, compromiterea unor conturi sau întreruperea funcționării aplicațiilor.

În anumite situații, pot fi expuse și date sensibile.

Nu toate site-urile realizate în PHP sunt însă vulnerabile. Versiunea instalată, configurația serverului și actualizările aplicate sunt decisive.

ȘCOLI, SPITALE ȘI PRIMĂRII, PRINTRE INSTITUȚIILE AVERTIZATE

Notificările DNSC au vizat instituțiile publice civile aflate în aria sa de competență.

Printre acestea se numără școli, grădinițe, licee, universități, spitale, clinici, primării, consilii locale și județene, instituții financiare, operatori de utilități și companii de stat.

Aceste organizații furnizează servicii esențiale și utilizează sisteme informatice pentru activitățile lor curente.

În funcție de instituție și de aplicație, platformele pot gestiona informații despre angajați, beneficiari, pacienți, elevi, contribuabili sau persoane care solicită servicii publice.

Din acest motiv, securitatea lor nu este o simplă problemă tehnică.

O vulnerabilitate exploatată într-un sistem care gestionează informații sensibile poate afecta atât funcționarea instituției, cât și persoanele ale căror date sunt prelucrate.

Totuși, nu există în informațiile publicate până la 29 octombrie o confirmare că datele personale ale cetățenilor au fost compromise la toate instituțiile notificate sau că vulnerabilitățile au fost exploatate pe scară largă în administrația românească.

SITE-URI ALE POLIȚIEI ȘI ALE ALTOR INSTITUȚII, TEMPORAR INDISPONIBILE

În zilele anterioare publicării informațiilor, mai multe pagini ale unor instituții publice au devenit temporar indisponibile.

Printre acestea s-au numărat site-ul Poliției Române și pagini ale unor inspectorate județene de poliție.

Vizitatorii au întâlnit mesaje privind lucrări de mentenanță și actualizări de securitate.

Unele autorități locale au explicat că indisponibilitatea temporară reprezenta o măsură preventivă în contextul vulnerabilităților PHP.

În asemenea situații, suspendarea temporară a accesului la o platformă poate fi o decizie prudentă, atunci când administratorii trebuie să verifice sau să actualizeze infrastructura.

Un site indisponibil pentru mentenanță nu este automat un site atacat.

Totuși, asemenea episoade arată cât de dependentă a devenit administrația publică de funcționarea sistemelor digitale.

Atunci când un portal nu poate fi accesat, cetățenii pot întâmpina dificultăți în obținerea informațiilor sau utilizarea unor servicii online.

 CE A FĂCUT GUVERNUL PENTRU PROTEJAREA PLATFORMELOR SALE?

Potrivit răspunsului transmis presei de reprezentanții Guvernului, Secretariatul General al Guvernului a aplicat măsurile de securitate recomandate de DNSC pentru platformele administrate direct.

Majoritatea serverelor respective, inclusiv cel care găzduiește site-ul oficial gov.ro, utilizau deja versiuni PHP care remediază vulnerabilitățile PHP2Shell.

Pentru alte platforme aflate în administrarea Secretariatului General al Guvernului, procesul de actualizare era încă în desfășurare la începutul săptămânii.

Autoritățile au precizat că au implementat măsuri temporare pentru reducerea riscurilor până la finalizarea actualizărilor.

Aceste informații arată că procesul de remediere a început, dar nu demonstrează că toate sistemele administrației publice au fost deja securizate.

Situația fiecărei instituții trebuie verificată individual.

 DE CE NU ESTE SUFICIENTĂ SIMPLA INSTALARE A UNUI ANTIVIRUS?

Vulnerabilitățile PHP2Shell afectează componente software utilizate pe servere.

Ele nu pot fi tratate exclusiv prin instalarea unui program antivirus pe calculatoarele angajaților.

Protejarea infrastructurii presupune identificarea versiunilor vulnerabile, aplicarea actualizărilor recomandate și verificarea funcționării corecte a sistemelor.

DNSC a indicat versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35 ca versiuni care conțin corecțiile necesare pentru ramurile respective.

Administratorii trebuie să țină cont și de actualizările furnizate de distribuțiile software folosite, deoarece unele corecții pot fi integrate fără schimbarea numărului principal al versiunii afișate.

Sunt importante și verificarea jurnalelor de securitate, controlul accesului, copiile de siguranță și monitorizarea activităților suspecte.

O instituție care utilizează aplicații învechite sau insuficient întreținute poate rămâne expusă chiar dacă dispune de alte instrumente de protecție.

 DATELE ROMÂNILOR: CINE RĂSPUNDE PENTRU SECURITATEA LOR?

Digitalizarea administrației a adus avantaje importante.

Cetățenii pot transmite documente online, pot solicita servicii fără deplasări și pot comunica mai rapid cu instituțiile.

Dar fiecare serviciu digital presupune și responsabilități.

Autoritățile care prelucrează date personale trebuie să adopte măsuri tehnice și organizatorice adecvate riscurilor, în conformitate cu legislația aplicabilă, inclusiv Regulamentul general privind protecția datelor.

Responsabilitatea nu se încheie odată cu lansarea unei platforme.

Sistemele trebuie întreținute, actualizate și verificate permanent.

O aplicație sigură la momentul inaugurării poate deveni vulnerabilă dacă software-ul nu este actualizat.

De aceea, investițiile în digitalizare trebuie însoțite de bugete pentru mentenanță, personal calificat și securitate informatică.

Statul nu trebuie doar să colecteze și să digitalizeze informațiile cetățenilor. Trebuie să le și protejeze.

EXISTĂ DOVEZI CĂ DATELE CETĂȚENILOR AU FOST FURATE?

Până la momentul redactării acestui articol, informațiile analizate nu demonstrează existența unui furt generalizat de date din instituțiile publice românești ca urmare a PHP2Shell.

DNSC a avertizat asupra riscurilor de compromitere și a transmis recomandări de securitate.

Aceasta este o măsură preventivă.

Existența unei vulnerabilități nu trebuie confundată cu exploatarea ei efectivă.

Pentru a confirma un incident sunt necesare investigații tehnice, identificarea sistemelor afectate și stabilirea consecințelor.

În eventualitatea unui incident care implică date personale, instituțiile responsabile trebuie să evalueze obligațiile legale privind notificarea autorităților competente și informarea persoanelor afectate.

Comunicarea publică trebuie să fie transparentă, dar și exactă.

Alarmarea populației fără dovezi poate produce confuzie, la fel cum ascunderea unor incidente confirmate poate afecta încrederea cetățenilor.

 CE AR TREBUI SĂ FACĂ AUTORITĂȚILE ROMÂNE?

Alerta PHP2Shell oferă ocazia unei evaluări mai ample a securității informatice din administrația publică.

O primă prioritate este verificarea tuturor sistemelor care utilizează versiuni PHP afectate.

A doua este aplicarea actualizărilor și confirmarea remedierii vulnerabilităților.

A treia privește identificarea aplicațiilor vechi, a platformelor fără mentenanță și a sistemelor pentru care nu există responsabilități administrative clare.

În plus, instituțiile trebuie să dispună de proceduri de răspuns la incidente și de personal pregătit să le aplice.

Ar fi utilă și publicarea unor informații agregate privind progresul remedierii, fără divulgarea detaliilor tehnice care ar putea facilita atacuri.

Cetățenii au dreptul să știe dacă instituțiile își îndeplinesc obligațiile de securitate.

Transparența poate fi realizată fără compromiterea protecției sistemelor.

CÂT DE PREGĂTITĂ ESTE ROMÂNIA PENTRU UN ATAC CIBERNETIC MAJOR?

Amenințările informatice nu se limitează la furtul de parole sau la compromiterea unor pagini web.

Ele pot afecta servicii publice, comunicații, activități economice și infrastructuri importante.

De aceea, securitatea cibernetică trebuie privită ca o componentă a securității naționale și a bunei administrări.

România are nevoie de specialiști, instituții capabile să coopereze și investiții în sisteme informatice moderne.

Este necesară și o cultură administrativă în care securitatea să fie tratată ca o obligație permanentă, nu ca o reacție de urgență după apariția unei vulnerabilități.

Incidentul PHP2Shell demonstrează cât de rapid pot deveni relevante pentru mii de instituții problemele descoperite într-o tehnologie utilizată la nivel mondial.

 CE POT FACE CETĂȚENII?

Pentru utilizatorii obișnuiți, alerta nu impune automat schimbarea tuturor parolelor sau renunțarea la serviciile digitale ale statului.

Sunt însă recomandate măsurile generale de siguranță: parole distincte pentru conturi importante, autentificare multifactorială acolo unde este disponibilă și atenție la mesajele suspecte.

Cetățenii ar trebui să acceseze serviciile publice prin adrese oficiale și să evite transmiterea datelor personale prin linkuri primite din surse necunoscute.

Dacă o instituție anunță un incident care le afectează datele, persoanele vizate trebuie să urmeze recomandările comunicate oficial.

DIGITALIZAREA FĂRĂ SECURITATE POATE DEVENI O VULNERABILITATE A STATULUI

Notificarea a 17.416 instituții publice în legătură cu PHP2Shell reprezintă un avertisment serios privind importanța securității informatic.

Nu avem dovezi că toate aceste instituții au fost compromise, dar amploarea acțiunii preventive arată cât de multe organizații trebuie să fie pregătite să răspundă rapid la vulnerabilități critice.

Guvernul a anunțat actualizarea majorității serverelor administrate direct de Secretariatul General al Guvernului, în timp ce alte lucrări erau încă în desfășurare.

Întrebarea importantă este ce se întâmplă în restul administrației și cât de repede pot instituțiile să își verifice și să își protejeze infrastructura.

România are nevoie de digitalizare, dar aceasta trebuie construită pe sisteme sigure, personal competent și responsabilitate instituțională.

Un stat care cere cetățenilor să își încredințeze datele personale platformelor sale are obligația să demonstreze că știe să le protejeze.

Securitatea digitală nu este un lux și nici o simplă problemă tehnică. Este o condiție a încrederii dintre cetățean și stat.