Μια επαγγελματική ιστοσελίδα μπορεί να δέχεται κανονικά παραγγελίες, να εμφανίζει σωστά τα προϊόντα και να λειτουργεί πάνω σε λογισμικό που χρειάζεται επείγουσα ενημέρωση. Στις 21 Οκτωβρίου 2026, η ENISA, η Ευρωπαϊκή Επιτροπή, το CERT-EU, η Europol και το ευρωπαϊκό δίκτυο CSIRTs εξέδωσαν κοινή προειδοποίηση για δύο κρίσιμες ευπάθειες της PHP, τις CVE-2026-109618 και CVE-2026-109619. Η ομάδα της PHP διέθεσε ενημερώσεις ασφαλείας την ίδια ημέρα. Η ευρωπαϊκή σύσταση ήταν να εντοπιστούν οι εγκαταστάσεις που χρησιμοποιούν PHP, να δοθεί προτεραιότητα σε όσες είναι προσβάσιμες από το διαδίκτυο και να εγκατασταθούν οι διορθώσεις σε συνεργασία με τους παρόχους. Κοινή προειδοποίηση της ENISA.
Τι κάνουν οι δύο ευπάθειες
Η PHP είναι το περιβάλλον εκτέλεσης που επεξεργάζεται αιτήματα για πολλά συστήματα διαχείρισης περιεχομένου, ηλεκτρονικά καταστήματα και εφαρμογές κατά παραγγελία. Και οι δύο ευπάθειες βρίσκονται στον πυρήνα του περιβάλλοντος εκτέλεσης. Το CERT-EU αναφέρει βαθμολογία 9,2 στο CVSS για καθεμία. Ο χαρακτηρισμός «κρίσιμες» αντανακλά τη δυνατότητα απομακρυσμένης εκτέλεσης κώδικα χωρίς προηγούμενη σύνδεση σε λογαριασμό, υπό τις συνθήκες που επιτρέπουν την εκμετάλλευση. Τεχνική ενημέρωση του CERT-EU.
CVE-2026-109618 και χειρισμός εξάντλησης μνήμης
Όταν ένα αίτημα φτάσει στο όριο μνήμης, η PHP μπορεί να διακόψει την επεξεργασία προτού αρχικοποιηθούν πλήρως ορισμένα εσωτερικά δεδομένα. Η διαδικασία εκκαθάρισης μπορεί τότε να χειριστεί ημιτελείς δομές σαν να ήταν έγκυρες και να επιχειρήσει να ελευθερώσει μνήμη με εσφαλμένο τρόπο. Η αλλοίωση της μνήμης μπορεί, υπό κατάλληλες συνθήκες, να επιτρέψει εκτέλεση κώδικα. Ο χειρισμός δεδομένων κατά τη μεταφόρτωση αρχείων είναι ένα από τα παραδείγματα που αναφέρει το CERT-EU. Επίσημο τεχνικό δελτίο για την CVE-2026-109618.
CVE-2026-109619 και κατάσταση που επιβιώνει μεταξύ αιτημάτων
Στη δεύτερη περίπτωση, μέρος της εσωτερικής κατάστασης ενός αιτήματος μπορεί να παραμείνει διαθέσιμο παρότι η αντίστοιχη μνήμη έχει ήδη ελευθερωθεί, για παράδειγμα ύστερα από μοιραίο σφάλμα. Ένα επόμενο αίτημα που εξυπηρετείται από την ίδια διεργασία μπορεί να προσπελάσει αυτή την παρωχημένη κατάσταση πριν την επαναφέρει η κανονική αρχικοποίηση. Και εδώ, η συνέπεια μπορεί να φτάσει σε απομακρυσμένη εκτέλεση κώδικα. Επίσημο τεχνικό δελτίο για την CVE-2026-109619.
Τι σημαίνει RCE για μια επιχείρηση
Remote Code Execution, ή RCE, σημαίνει ότι κάποιος μπορεί να προκαλέσει εκτέλεση κώδικα στον διακομιστή από απόσταση. Ο κώδικας εκτελείται με τα δικαιώματα της διεργασίας που τον εκτελεί. Σε μια εμπορική ιστοσελίδα αυτά τα δικαιώματα μπορεί να δίνουν πρόσβαση σε αρχεία της εφαρμογής, ρυθμίσεις σύνδεσης στη βάση ή εγγράψιμους φακέλους. Οι πραγματικές συνέπειες εξαρτώνται από την απομόνωση των εφαρμογών, τα δικαιώματα αρχείων και βάσης δεδομένων και τις υπόλοιπες δικλίδες του περιβάλλοντος. Η παρουσία ευάλωτης έκδοσης αποδεικνύει ανάγκη διόρθωσης. Για να διαπιστωθεί αν υπήρξε παραβίαση χρειάζεται έλεγχος συμβάντος.
Η PHP αναφέρει ότι οι εγκαταστάσεις που εξυπηρετούν αιτήματα ιστού, μεταξύ τους PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed, χρειάζονται αξιολόγηση. Η ίδια εκτιμά υψηλότερο κίνδυνο για το mod_php και περιγράφει περίπτωση όπου ένα αίτημα χωρίς αυθεντικοποίηση μπορεί να ενεργοποιήσει την επίθεση πριν εκτελεστεί ο κώδικας της εφαρμογής. Αυτό εξηγεί γιατί ένα ισχυρό συνθηματικό διαχειριστή και η ενημέρωση του CMS, παρότι αναγκαία, καλύπτουν διαφορετικά σημεία από την ενημέρωση της PHP. Αρχείο ανακοινώσεων ασφαλείας της PHP για το 2026.
Ποιες εκδόσεις χρειάζονται ενημέρωση
Για τις υποστηριζόμενες σειρές που καλύπτει η ανακοίνωση, επηρεάζονται οι εκδόσεις PHP 8.2 πριν από την 8.2.35, PHP 8.3 πριν από την 8.3.36, PHP 8.4 πριν από την 8.4.27 και PHP 8.5 πριν από την 8.5.12. Αυτές είναι οι πρώτες upstream εκδόσεις που διόρθωσαν τα δύο συγκεκριμένα CVE. Η επιλογή για παραγωγή πρέπει να βασίζεται στην ενημερωμένη, υποστηριζόμενη έκδοση ή στο πακέτο για το οποίο ο προμηθευτής βεβαιώνει ότι έχει ενσωματώσει τις διορθώσεις. Σε διανομές Linux η διόρθωση μπορεί να έχει μεταφερθεί σε πακέτο που διατηρεί παλαιότερο βασικό αριθμό έκδοσης. Χρειάζεται έλεγχος του δελτίου ασφαλείας και του ακριβούς αναγνωριστικού πακέτου. Για σειρές εκτός υποστήριξης χρειάζεται σχέδιο μετάβασης. Κύκλος υποστήριξης εκδόσεων PHP.
Αν η ενημέρωση δεν μπορεί να εφαρμοστεί αμέσως, η ENISA προτείνει να εξεταστεί η προσωρινή απομόνωση των εκτεθειμένων εφαρμογών. Οι περιορισμοί αιτημάτων και οι ρυθμίσεις που περιγράφει η PHP αντιμετωπίζουν συγκεκριμένες διαδρομές εκμετάλλευσης. Χρειάζονται αξιολόγηση από τον διαχειριστή και παραμένουν προσωρινά μέτρα. Η εγκατάσταση και η επαλήθευση του patch είναι απαραίτητες. Στις 23 Οκτωβρίου η PHP δημοσίευσε χωριστή ενημέρωση για μια ασυνήθιστη διαμόρφωση συνεδριών, γι’ αυτό ο έλεγχος πρέπει να καλύπτει και τυχόν νεότερα δελτία του προμηθευτή. Επίσημες ενημερώσεις και προσωρινά μέτρα της PHP.
Πώς ελέγχεται μια πραγματική εγκατάσταση
Η απογραφή αρχίζει από τους ιστότοπους, τα υποdomains, τα δοκιμαστικά περιβάλλοντα, τα containers και τις εμπορικές εφαρμογές που ενσωματώνουν PHP. Σε έναν λογαριασμό φιλοξενίας μπορεί το ηλεκτρονικό κατάστημα να χρησιμοποιεί διαφορετική PHP από το εταιρικό site. Η έκδοση που εμφανίζεται με php -v αφορά το εκτελέσιμο της γραμμής εντολών. Ο έλεγχος πρέπει να επιβεβαιώνει ποια έκδοση και ποιος handler εξυπηρετούν τα web αιτήματα για κάθε ιστότοπο. Αυτό γίνεται από το πάνελ φιλοξενίας, από εγκεκριμένα εργαλεία διαχείρισης ή με επιβεβαίωση του παρόχου. Η αναζήτηση πρέπει να περιλαμβάνει και προϊόντα που χρησιμοποιούν PHP στο παρασκήνιο. Κατάλογος σχετικών ενημερώσεων του NCSC-NL.
Ο πάροχος φιλοξενίας ενημερώνει τα πακέτα και τις υποδομές που διαχειρίζεται σύμφωνα με το συμβόλαιο, ενημερώνει για διαθέσιμες διορθώσεις και μπορεί να επιβεβαιώσει ποιο πακέτο εγκαταστάθηκε. Σε αυτοδιαχειριζόμενο VPS, μεγάλο μέρος αυτής της ευθύνης ανήκει συνήθως στον πελάτη. Ο διαχειριστής της ιστοσελίδας πρέπει να ξέρει ποιος εκτελεί την αλλαγή, ποιος ελέγχει ότι οι ενεργές διεργασίες χρησιμοποιούν το ενημερωμένο περιβάλλον και πού καταγράφεται το αποτέλεσμα. Μετά την ενημέρωση, ο developer ελέγχει τη συμβατότητα του κώδικα, των επεκτάσεων και των εξαρτήσεων και επαληθεύει τις κρίσιμες λειτουργίες στο περιβάλλον παραγωγής.
Η συντήρηση στην καθημερινότητα μιας μικρομεσαίας επιχείρησης
Σε ένα ελληνικό ηλεκτρονικό κατάστημα, η αναβάθμιση πρέπει να συνοδεύεται από ελέγχους στο καλάθι, στην πληρωμή και στην επιβεβαίωση της παραγγελίας. Σε μια επιχείρηση υπηρεσιών, προτεραιότητα μπορεί να έχουν η φόρμα επικοινωνίας, τα ραντεβού και η παράδοση email. Όπου είναι εφικτό, ο developer δοκιμάζει πρώτα σε ξεχωριστό περιβάλλον με αντίστοιχη έκδοση PHP και συμβατές επεκτάσεις. Μετά την αλλαγή επαναλαμβάνει τις δοκιμές και ελέγχει τα αρχεία καταγραφής. Ένα σχέδιο επαναφοράς πρέπει να προβλέπει πώς θα παραμείνει προστατευμένη η υπηρεσία αν παρουσιαστεί πρόβλημα συμβατότητας.
Η τεχνική υποστήριξη χρειάζεται ημερολόγιο τακτικών ενημερώσεων και διαδικασία για επείγουσες διορθώσεις. Τα αντίγραφα ασφαλείας πρέπει να καλύπτουν αρχεία και βάση, να φυλάσσονται χωριστά από το περιβάλλον παραγωγής με περιορισμένη πρόσβαση και να δοκιμάζονται με πραγματική επαναφορά. Η παρακολούθηση συμβάντων πρέπει να μπορεί να αναδείξει ασυνήθιστα σφάλματα, απρόσμενες αλλαγές αρχείων ή ύποπτες συνδέσεις διαχείρισης. Αν υπάρχουν ενδείξεις παραβίασης, η εφαρμογή της ενημέρωσης πρέπει να συνοδεύεται από διερεύνηση και διατήρηση των σχετικών καταγραφών. Το patch κλείνει την ευπάθεια για το μέλλον. Η διερεύνηση εξετάζει αν υπάρχει ήδη μη εξουσιοδοτημένη πρόσβαση.
Μια σύντομη καταγραφή μετά από κάθε παρέμβαση βοηθά να συντονιστούν επιχείρηση, developer και hosting. Αρκεί να αναφέρει ποια sites ελέγχθηκαν, ποιος χειριστής PHP ήταν ενεργός, ποια έκδοση ή πακέτο εγκαταστάθηκε, πότε έγινε η αλλαγή και ποιες λειτουργίες δοκιμάστηκαν. Στην επόμενη ειδοποίηση ασφαλείας, η ομάδα μπορεί να ξεκινήσει από αυτά τα στοιχεία αντί να ανακαλύπτει ξανά τη διαμόρφωση του κάθε site. Αξίζει επίσης να ορίζεται ποιος παρακολουθεί τις ανακοινώσεις των προμηθευτών και ποιος ειδοποιείται όταν μια ενημέρωση επηρεάζει τη διαθεσιμότητα. Για μια μικρή επιχείρηση χωρίς εσωτερικό τμήμα πληροφορικής, αυτό μπορεί να γίνει μέρος μιας σαφούς συμφωνίας τεχνικής υποστήριξης με τον εξωτερικό συνεργάτη.
Στη ρύθμιση του διακομιστή, η απομόνωση εφαρμογών και τα ελάχιστα αναγκαία δικαιώματα περιορίζουν την έκταση ενός συμβάντος. Ατομικοί λογαριασμοί διαχείρισης, πολυπαραγοντική ταυτοποίηση όπου υποστηρίζεται και έγκαιρη αφαίρεση παλιών προσβάσεων κάνουν σαφέστερο ποιος μπορεί να αλλάξει τι. Για τον επιχειρηματία, το ζητούμενο είναι να έχει έναν γνωστό υπεύθυνο, συμφωνημένο χρόνο αντίδρασης και τεκμήριο ότι το κατάστημα λειτουργεί μετά από κάθε παρέμβαση. Εκεί κρίνεται η ασφάλεια μετά την παράδοση μιας ιστοσελίδας, στην ικανότητα της ομάδας να εντοπίζει αλλαγές, να εφαρμόζει διορθώσεις και να αποκαθιστά την υπηρεσία όταν χρειάζεται.