Με λίγα λόγια
- Δύο πολύ σοβαρά κενά ασφαλείας στη PHP μπορούν να επιτρέψουν σε χάκερ να πάρουν τον έλεγχο ενός web server χωρίς κωδικό πρόσβασης.
- Η NSA ζητά άμεση εγκατάσταση των ενημερώσεων. Αν αυτό δεν είναι δυνατό, προτείνει την προσωρινή αποσύνδεση του συστήματος από το διαδίκτυο.
- Το πρόβλημα βρίσκεται στην ίδια την PHP και όχι σε κάποιο συγκεκριμένο θέμα, πρόσθετο ή εφαρμογή ιστοσελίδας.
Η αμερικανική National Security Agency, γνωστή ως NSA, εξέδωσε επείγουσα προειδοποίηση για δύο κρίσιμα κενά ασφαλείας στη PHP. Πρόκειται για τη γλώσσα προγραμματισμού που λειτουργεί στο παρασκήνιο εκατομμυρίων ιστοσελίδων και χρησιμοποιείται ευρέως από πλατφόρμες όπως το WordPress, το Drupal και το Joomla.
Τα κενά ασφαλείας έχουν ονομαστεί συνολικά PHP2Shell. Μπορούν να επιτρέψουν σε έναν εισβολέα να εκτελέσει δικές του εντολές στον server χωρίς προηγουμένως να έχει συνδεθεί ή να γνωρίζει κάποιον κωδικό. Έτσι, θα μπορούσε να κλέψει δεδομένα, να αλλάξει το περιεχόμενο μιας ιστοσελίδας, να εγκαταστήσει κακόβουλο λογισμικό ή να προχωρήσει βαθύτερα στο εταιρικό δίκτυο.
Γιατί το PHP2Shell είναι τόσο επικίνδυνο
Οι δύο ευπάθειες καταγράφονται ως CVE-2026-109618 και CVE-2026-109619. Έχουν βαθμολογία σοβαρότητας 9,2 στα 10 και μπορούν να οδηγήσουν σε απομακρυσμένη εκτέλεση κώδικα. Με απλά λόγια, ο χάκερ μπορεί να δώσει εντολές στον server από απόσταση, σαν να είχε πρόσβαση στο ίδιο το μηχάνημα.
Το πρόβλημα δεν βρίσκεται απαραίτητα στον κώδικα της ιστοσελίδας. Βρίσκεται στον ίδιο τον μηχανισμό της PHP που επεξεργάζεται τα αιτήματα των επισκεπτών. Αυτό σημαίνει ότι ακόμη και μια σωστά κατασκευασμένη ιστοσελίδα μπορεί να κινδυνεύει, αν ο server χρησιμοποιεί ευάλωτη έκδοση της PHP.
Επηρεάζονται διαφορετικοί τρόποι λειτουργίας της PHP, όπως PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Το CERT-EU θεωρεί ότι το mod_php έχει τον μεγαλύτερο κίνδυνο, καθώς μία μόνο σύνδεση από μη εξουσιοδοτημένο χρήστη μπορεί να ενεργοποιήσει την επίθεση πριν εκτελεστεί ο κώδικας της εφαρμογής.
Η Palo Alto Networks Unit 42 υπολόγισε ότι περισσότερες από 22,6 εκατομμύρια εγκαταστάσεις εκτεθειμένες στο διαδίκτυο μπορεί να είναι ευάλωτες. Ταυτόχρονα, έχουν ήδη αρχίσει να κυκλοφορούν δημόσια παραδείγματα κώδικα που δείχνουν πώς μπορούν να αξιοποιηθούν τα δύο κενά ασφαλείας.
Ποιες εκδόσεις πρέπει να εγκατασταθούν
Η ομάδα ανάπτυξης της PHP κυκλοφόρησε διορθώσεις στις 21 Οκτωβρίου 2026. Οι ασφαλείς εκδόσεις είναι οι PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Όλες οι παλαιότερες εκδόσεις των αντίστοιχων σειρών πρέπει να ενημερωθούν άμεσα.
Οι εκδόσεις PHP 8.1 και παλαιότερες έχουν φτάσει στο τέλος της υποστήριξής τους και δεν λαμβάνουν πλέον διορθώσεις από το επίσημο έργο. Όσοι τις χρησιμοποιούν πρέπει να προχωρήσουν σε νεότερη έκδοση ή να εξετάσουν αν ο πάροχος του λειτουργικού συστήματος προσφέρει δική του ενημέρωση ασφαλείας.
Η ενημέρωση της ίδιας της WordPress εγκατάστασης ή των προσθέτων της δεν αρκεί. Η αναβάθμιση της PHP γίνεται συνήθως από τον πίνακα διαχείρισης της εταιρείας φιλοξενίας ή από τον διαχειριστή του server. Μετά την αλλαγή χρειάζεται επανεκκίνηση της σχετικής υπηρεσίας και έλεγχος ότι η ιστοσελίδα λειτουργεί κανονικά.
Η NSA προτείνει στους οργανισμούς να καταγράψουν όλα τα συστήματα που χρησιμοποιούν PHP, να εγκαταστήσουν τις διαθέσιμες ενημερώσεις και να ενεργοποιήσουν πιο αναλυτική καταγραφή της δικτυακής δραστηριότητας. Αν ένας server δεν μπορεί να ενημερωθεί αμέσως, η επίσημη σύσταση είναι να αποσυνδεθεί προσωρινά από το διαδίκτυο μέχρι να προστατευτεί.
