Pe 21 septembrie 2026 am transmis o avertizare privind riscuri de securitate informatică. Din păcate, mesajul nostru nu a primit atenția pe care am considerat-o necesară.
Astăzi, 3 noiembrie 2026, informațiile privind incidentele informatice care ar fi afectat șase magazine din România readuc în atenție o problemă fundamentală: cât de bine sunt protejate, în realitate, infrastructurile IT?
Nu afirmăm că aceste incidente au legătură cu vulnerabilitățile semnalate anterior. Dar considerăm că avertizările tehnice trebuie evaluate cu seriozitate, înainte ca riscurile să se transforme în probleme operaționale.
PHP și Java: tehnologii esențiale, dar nu lipsite de vulnerabilități
Numeroase aplicații web, platforme comerciale, sisteme ERP, CRM și aplicații instituționale utilizează PHP, Java și ecosistemele software construite în jurul acestora.
Sunt tehnologii mature și performante, însă securitatea lor depinde de modul în care sunt dezvoltate, configurate, actualizate și administrate.
Vulnerabilitățile pot exista în:
- Versiuni PHP sau Java neactualizate.
- Biblioteci, framework-uri și componente software externe.
- Aplicații dezvoltate fără verificări adecvate de securitate.
- Sisteme de autentificare și control al accesului.
- Interfețe API și integrări cu servicii externe.
- Configurații incorecte ale serverelor și bazelor de date.
Atacurile pot exploata, în anumite condiții, probleme precum SQL Injection, executarea neautorizată de cod, deserializarea nesigură sau controlul insuficient al accesului.
Problema nu este existența PHP sau Java. Problema apare atunci când organizațiile nu cunosc, nu evaluează sau nu remediază vulnerabilitățile din propriile sisteme.
Un firewall nu poate compensa toate vulnerabilitățile unei aplicații
Fortinet, Cisco și alte soluții profesionale de securitate pot oferi mecanisme avansate de protecție a rețelelor.
Debian, Fedora și alte distribuții Linux oferă fundația pentru infrastructuri IT complexe.
Dar acestea sunt niveluri diferite de securitate.
Un firewall de rețea nu poate garanta protecția unei aplicații PHP sau Java vulnerabile. Sunt necesare măsuri suplimentare, inclusiv securizarea codului, actualizarea componentelor, protecție WAF, segmentare și monitorizare.
O infrastructură nu devine sigură doar pentru că dispune de echipamente performante. Devine mai sigură atunci când toate componentele sale sunt administrate și verificate corespunzător.
Mesaj pentru CEO, CTO, CIO și responsabilii IT
Dacă administrați o companie, verificați periodic nu doar funcționarea sistemelor, ci și competențele tehnice ale celor care le gestionează.
Câteva întrebări esențiale:
- Știe departamentul IT ce versiuni PHP, Java și ce biblioteci sunt utilizate în aplicațiile companiei?
- Există un proces documentat de identificare și remediere a vulnerabilităților?
- Sunt evaluate independent configurațiile firewall și accesul la sistemele critice?
- Sunt protejate echipamentele industriale, sistemele de automatizare, HVAC și dispozitivele IoT?
- Cine analizează avertizările de securitate și cine confirmă că măsurile corective au fost aplicate?
Un CTO nu trebuie să cunoască personal fiecare vulnerabilitate, dar trebuie să asigure existența specialiștilor, proceselor și controalelor necesare.
Suntem deschiși colaborării
Susținem o abordare strictă a securității cibernetice: acces minim necesar, expunere redusă la internet, segmentare, monitorizare și verificări tehnice periodice.
Suntem deschiși colaborării cu organizații, integratori și instituții, inclusiv DNSC, pentru proiecte în care experiența noastră în infrastructuri de comunicații, rețelistică și integrarea sistemelor poate aduce valoare.
Considerăm că securitatea trebuie construită prin colaborarea specialiștilor în aplicații, Linux, rețelistică, firewall și sisteme industriale.
Concluzie
Securitatea cibernetică nu este responsabilitatea exclusivă a departamentului IT. Este o responsabilitate a întregii conduceri.
Dacă sunteți CEO, cereți dovezi că infrastructura este verificată.
Dacă sunteți CTO, asigurați-vă că echipa dispune de competențele necesare pentru tehnologiile utilizate.
Dacă sunteți administrator IT, tratați fiecare avertizare documentată ca pe o informație care trebuie evaluată tehnic.
Iar dacă cineva vă semnalează o vulnerabilitate, nu confundați absența unui incident cu absența riscului.
Securitatea reală nu se bazează pe presupuneri, ci pe verificări, competență și responsabilitate.
Un sistem care funcționează nu este neapărat un sistem securizat.