Două vulnerabilități critice în PHP, notate 9,2 din 10
Echipa care dezvoltă limbajul de programare PHP a anunțat pe 21 octombrie două vulnerabilități critice, fiecare notată cu 9,2 din 10 pe scala de severitate, la un pas de nivelul maxim. Un atacator putea prelua controlul unui server de la distanță, fără cont și fără parolă, iar după câteva zile breșele erau deja folosite în atacuri reale. PHP susține milioane de site-uri și aplicații web, de la magazine online la portaluri instituționale.
Peste 48.000 de vulnerabilități descoperite în 2025
Conform ENISA, în 2025 au fost descoperite peste 48.000 de vulnerabilități software, cu 22% mai multe decât cu un an înainte. În peste 60% din cazurile în care s-a putut stabili modul de intrare, atacatorii au exploatat o astfel de breșă. Aproape trei sferturi dintre organizațiile atacate furnizează servicii esențiale sau importante, iar instituțiile publice sunt cele mai vizate, cu aproape o treime din cazuri.
România a resimțit impactul în 2024 și 2026
În februarie 2024, un atac ransomware asupra sistemului Hipocrate, folosit de zeci de spitale, le-a afectat activitatea. În iulie 2026, un atac similar asupra ANCPI a blocat platforma e-Terra și a perturbat tranzacțiile imobiliare aproape o lună. Pentru cetățeni, un atac poate însemna o programare la medic imposibil de făcut, un tren întârziat sau un serviciu online indisponibil.
Lista componentelor software, propusă ca obligație pentru achizițiile publice
Alerta PHP ridică întrebarea cât de repede poate o organizație să afle unde folosește componenta vulnerabilă. Soluția propusă de ANIS este SBOM (Software Bill of Materials), o listă a tuturor componentelor unui program, care arată imediat dacă un sistem conține piesa vulnerabilă. ANIS propune ca această listă, într-un format standard, să fie obligatorie pentru programele cumpărate de instituțiile publice, cu reguli care să nu descurajeze comunitățile open-source. De asemenea, standardele deschise și posibilitatea de a muta datele la finalul contractului ar preveni dependența de un singur furnizor.
Raportare unică pentru incidente, cerută de industrie
Uniunea Europeană a introdus reguli mai stricte: NIS2 pentru servicii esențiale, DORA pentru sectorul financiar și Cyber Resilience Act pentru produsele digitale. Din 11 septembrie 2026, producătorii trebuie să anunțe în 24 de ore vulnerabilitățile exploatate activ. Problema apare în aplicare: în plin atac, o companie poate fi nevoită să trimită aceleași informații către mai multe instituții, fiecare cu formularul și termenul ei. ANIS cere un principiu simplu – un incident se raportează o singură dată, iar informația ajunge automat la toate instituțiile care au nevoie de ea. Comisia Europeană a propus un punct unic de raportare și estimează că ar reduce la jumătate costurile de raportare. ANIS a solicitat ca România să pregătească din timp un sistem compatibil, în contribuția la Strategia Națională de Securitate Cibernetică 2027–2032.
Produse digitale verificate înainte de vânzare
Unele produse digitale vor trebui evaluate de organisme specializate înainte de a fi vândute în UE. Dacă astfel de organisme nu există în România, companiile românești vor apela la teste în alte țări, cu costuri și întârzieri suplimentare. Germania, Franța și Spania au ales un model în care statul supraveghează, iar firme private acreditate fac evaluarea. Firmele mici au nevoie de ghiduri practice și sprijin pentru primii pași.
Inteligența artificială și criptarea, provocări pe termen lung
Inteligența artificială ajută la detectarea rapidă a atacurilor, dar și la crearea de mesaje înșelătoare mai credibile și operațiuni automatizate. ENISA observă că AI este folosită tot mai des în atacuri, iar pentru sisteme AI sigure sunt utile ghidurile practice, nu sancțiunile. Calculatoarele cuantice amenință pe termen lung criptarea datelor bancare, medicale sau ale statului; noile standarde rezistente au fost publicate în 2024. Un prim pas ar fi ca organizațiile din sectoare esențiale să își inventarieze până în 2028 sistemele de criptare. Securitatea gândită încă din proiectare și sistemele ușor de actualizat trebuie să facă parte din investițiile actuale.
Strategia Națională 2027–2032, momentul potrivit
Noua Strategie Națională de Securitate Cibernetică 2027–2032 este ocazia pentru finanțare pe mai mulți ani, rezultate măsurabile și publice și o colaborare reală între stat și industrie. Luna Europeană a Securității Cibernetice s-a încheiat, dar riscurile nu au sezon. Nu putem ști când va apărea următoarea vulnerabilitate, însă putem decide cât de pregătiți suntem.
