Δύο κρίσιμες ευπάθειες στην PHP, τη γλώσσα που τρέχει σε μεγάλο μέρος των ιστοσελίδων, μπορούν να θέσουν σε κίνδυνο τους διακομιστές που τη χρησιμοποιούν. Το βρετανικό Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) εξέδωσε την Τετάρτη 21 Οκτωβρίου 2026 ειδοποίηση με τίτλο «Critical security issue affecting PHP» (κρίσιμο ζήτημα ασφαλείας που επηρεάζει την PHP) και κάλεσε τους βρετανικούς οργανισμούς να λάβουν άμεσα μέτρα. Όπως ανακοίνωσε το NCSC, οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 μπορούν να επιτρέψουν σε επιτιθέμενο να εκτελέσει εντολές σε οποιονδήποτε διακομιστή ιστού τρέχει PHP.
Η διόρθωση υπάρχει ήδη. Η ομάδα ανάπτυξης της PHP κυκλοφόρησε την ενημέρωση ασφαλείας στις 21 Οκτωβρίου, έπειτα από προαναγγελία της 20ής, και στην ανακοίνωσή του στο php.net χαρακτηρίζει και τις δύο ευπάθειες κρίσιμες. Η προαναγγελία της 20ής Οκτωβρίου τις βαθμολογούσε με 9,2 στην κλίμακα CVSS v4.0 (έως 10). Οι διορθωμένες εκδόσεις είναι οι PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Η PHP 8.1 και οι παλαιότερες δεν λαμβάνουν πλέον ενημερώσεις από την ομάδα ανάπτυξης, οπότε οι χρήστες τους πρέπει να ζητήσουν διόρθωση από τον πάροχο της διανομής τους ή να αναβαθμίσουν.
Η PHP τρέχει στον διακομιστή ιστού: παράγει το δυναμικό περιεχόμενο των σελίδων, επικοινωνεί με βάσεις δεδομένων και χειρίζεται τη λογική «παρασκηνίου» μιας εφαρμογής. Με απλά λόγια, ευπάθεια είναι ένα ελάττωμα του λογισμικού που μπορεί να αξιοποιήσει ένας επιτιθέμενος. Στην ευπάθεια CVE-2026-109618 ο επιτιθέμενος μπορεί να προκαλέσει στην PHP εξάντληση μνήμης (out-of-memory). Όταν εξαντλείται η μνήμη, η PHP μπορεί να διακοπεί ενώ ορισμένα εσωτερικά δεδομένα του αιτήματος δεν έχουν ακόμη αρχικοποιηθεί πλήρως, και ο καθαρισμός που ακολουθεί τα εκλαμβάνει ως έγκυρα, με αποτέλεσμα αλλοίωση της μνήμης (memory corruption). Στην ευπάθεια CVE-2026-109619 η PHP κρατά δεδομένα ενός αιτήματος ακόμη και αφού έχει ελευθερωθεί η μνήμη τους (use-after-free), και το επόμενο αίτημα της ίδιας διεργασίας μπορεί να τα χρησιμοποιήσει πριν αρχικοποιηθούν ξανά κανονικά. Υπό προϋποθέσεις, το αποτέλεσμα μπορεί να είναι εκτέλεση κώδικα από απόσταση χωρίς αυθεντικοποίηση, δηλαδή χωρίς όνομα χρήστη ή κωδικό.
Κινδυνεύουν όλες οι εγκαταστάσεις PHP που εξυπηρετούν αιτήματα ιστού. Τον μεγαλύτερο κίνδυνο το php.net εντοπίζει στη χρήση της PHP ως ενότητας mod_php (module του Apache που ενσωματώνει την PHP στον διακομιστή), όπου έχει αποδειχθεί ότι η επίθεση πετυχαίνει με ένα μόνο αίτημα, χωρίς αυθεντικοποίηση και πριν εκτελεστεί οποιοσδήποτε κώδικας της εφαρμογής. Το NCSC τονίζει ότι μπορεί να επηρεάζονται όλες οι εκδόσεις και ζητά να μην περιοριστεί ο έλεγχος στις παλιές.
Η αμερικανική CISA δημοσίευσε την ίδια ημέρα δική της ειδοποίηση και ανέφερε ότι κατά τη δημοσίευση δεν είχε παρατηρήσει εκμετάλλευση των ευπαθειών. Συστήνει απογραφή όλων των συστημάτων με PHP, ακόμη και όσων την περιέχουν μέσα σε άλλο λογισμικό, και ενημέρωση πρώτα των εκτεθειμένων στο διαδίκτυο. Όποιος δεν μπορεί να ενημερώσει άμεσα ή τρέχει PHP 8.1 και παλαιότερη, πρέπει να θέσει το σύστημα εκτός λειτουργίας.
Στην ίδια κατεύθυνση το NCSC προτείνει πρώτα ενημέρωση των εκτεθειμένων συστημάτων. Αν δεν είναι εφικτή ούτε η ενημέρωση ούτε η άμεση απενεργοποίηση του συστήματος, ζητά έλεγχο για ίχνη παραβίασης και κερκόπορτες. Ζητά επίσης συνεχή παρακολούθηση των ενημερώσεων ασφαλείας των κατασκευαστών, αφού συσκευές και υπηρεσίες ενσωματώνουν PHP. Κατάλογο τέτοιων προϊόντων τηρεί το ολλανδικό NCSC-NL.
Για όσους δεν μπορούν να ενημερώσουν, το php.net προτείνει προσωρινά μέτρα, όπως memory_limit=-1, χαμηλό post_max_size και απενεργοποίηση του session.upload_progress.enabled. Τονίζει ότι δεν καθιστούν την εγκατάσταση ασφαλή και ότι μόνο η ενημέρωση είναι πλήρης λύση.
Το θέμα αφορά και ελληνικούς οργανισμούς. Το php.net περιγράφει την PHP ως γλώσσα που «τροφοδοτεί από το προσωπικό ιστολόγιο έως τους πιο δημοφιλείς ιστότοπους του κόσμου», ενώ το WordPress.org συνιστά στους παρόχους φιλοξενίας PHP 8.3 ή νεότερη για το WordPress. Κάθε ιστότοπος WordPress, σε δικό του διακομιστή ή σε πάροχο φιλοξενίας, στηρίζεται λοιπόν σε PHP και οι διαχειριστές του πρέπει να ελέγξουν την έκδοση και αν έχει εφαρμοστεί η διόρθωση.
Η προειδοποίηση έρχεται μία ημέρα μετά την αποκάλυψη της Symantec για την ομάδα APT28 της ρωσικής GRU σε στόχους του ΝΑΤΟ. Η απειλή του κυβερνοπολέμου περιλαμβάνει τα στρατιωτικά δίκτυα, όπως δείχνει η υπόθεση της APT28, αλλά και τις συνηθισμένες ιστοσελίδες που βασίζονται σε PHP. Η Ελλάδα έχει δοκιμάσει τις άμυνές της σε διεθνές επίπεδο, όπως με τη συμμετοχή του ΔΙΚΕΚΥΒ του ΓΕΕΘΑ στην άσκηση Locked Shields 23 του ΝΑΤΟ τον Απρίλιο του 2023.
