Η PHP κυκλοφόρησε χθες, Τετάρτη 21 Οκτωβρίου, διορθώσεις για δύο ευπάθειες απομακρυσμένης εκτέλεσης κώδικα βαθμολογίας CVSS 9,2, καθώς απόπειρες εκμετάλλευσης είχαν ήδη καταγραφεί πριν από την έκδοση του patch. Οι ενημερώσεις βγήκαν μία ημέρα πριν από την προγραμματισμένη δημοσιοποίηση της 22ας Οκτωβρίου — και μία ημέρα αφότου οι λεπτομέρειες διέρρευσαν στο διαδίκτυο, στις 20 του μήνα.

Οι εκτιμήσεις για την έκταση της εκμετάλλευσης διίστανται. Η WatchTowr δήλωσε στο SecurityWeek ότι καμία από τις απόπειρες που κατέγραψε δεν είχε πετύχει έως την κυκλοφορία των διορθώσεων, αν και δεν αναμένει να διαρκέσει πολύ αυτό. Λίγες ώρες νωρίτερα, η Hadrian υποστήριζε ότι η ευπάθεια, γνωστή πλέον ως «php2shell», αξιοποιείται «μαζικά» σε πραγματικές συνθήκες, κυρίως μέσω της διαδρομής upload-progress των συνεδριών της PHP.

Σύμφωνα με το SecurityWeek, τα δύο σφάλματα — CVE-2026-109618 και CVE-2026-109619 — εντοπίστηκαν τον Αύγουστο με εργαλεία τεχνητής νοημοσύνης: η Calif με το GPT-5.6 Sol του OpenAI και, ανεξάρτητα, η Wiz. Είχαν μείνει αθέατα για περίπου δύο δεκαετίες, επειδή η εκμετάλλευσή τους απαιτούσε αλυσίδα βημάτων στο όριο των ανθρώπινων δυνατοτήτων, και επηρεάζουν εκδόσεις της PHP από την 5.4 και μετά. Η πρώτη αξιοποιεί τη διαχείριση εξάντλησης μνήμης: εσωτερικά δεδομένα του αιτήματος μένουν ημιτελώς αρχικοποιημένα και η διαδικασία καθαρισμού τα διαβάζει ως έγκυρα. Η δεύτερη στηρίζεται σε υπολείμματα κατάστασης που επιβιώνουν αφού ελευθερωθεί η μνήμη τους. Και οι δύο επιτρέπουν εκτέλεση κώδικα χωρίς σύνδεση διαχειριστή — άρα πρόσβαση σε κωδικούς, κλειδιά API, πιστοποιητικά και βάσεις δεδομένων. Το μεγαλύτερο ρίσκο εντοπίζεται στο mod_php, όπου το αίτημα φτάνει στον ευάλωτο κώδικα πριν εκτελεστεί η εφαρμογή.

Σύμφωνα με τη W3Techs, η PHP χρησιμοποιείται στο 69,3% των ιστοτόπων με γνωστή γλώσσα διακομιστή· το VirusTotal μετρά περίπου 3,8 εκατομμύρια sites με PHP και τουλάχιστον μία ανοιχτή θύρα. Την Τετάρτη, η Wikimedia, ολλανδικές και φινλανδικές κυβερνητικές υπηρεσίες, το δημοτικό συμβούλιο του Εδιμβούργου και σελίδες του BBC έθεσαν προληπτικά εκτός λειτουργίας συστήματά τους.

Η NSA ζήτησε άμεση αναβάθμιση και, όπου αυτή δεν είναι εφικτή, αποσύνδεση των συστημάτων, κάνοντας λόγο για «άμεση διαδρομή» προς τη βάση δεδομένων. Το βρετανικό NCSC συνέστησε επιπλέον ελέγχους για κερκόπορτες. Η ιαπωνική πρωθυπουργός Σανάε Τακαΐτσι επισήμανε ότι, όταν η έγκαιρη ενημέρωση είναι δύσκολη, η προσωρινή αναστολή λειτουργίας sites «μπορεί να θεωρηθεί αποτελεσματικός τρόπος» μείωσης του κινδύνου.

Στην πράξη, το πρώτο βήμα είναι ο έλεγχος της έκδοσης και η μετάβαση στις 8.5.12, 8.4.27, 8.3.36 ή 8.2.35. Η 8.1 και οι παλαιότερες δεν υποστηρίζονται πλέον από το έργο PHP, το οποίο όμως παρείχε ελάχιστα backports για τις 7.4, 8.0 και 8.1 — ενώ διανομές Linux και προμηθευτές LTS προσφέρουν δικές τους διορθώσεις. Όπου η PHP διαχειρίζεται από τον πάροχο φιλοξενίας, η αναβάθμιση δεν περνά από το διαχειριστικό του πελάτη· σύμφωνα με την Cloudflare, το αίτημα πρέπει να απευθυνθεί στον πάροχο. Για την ελληνική αγορά οι πηγές δεν δίνουν αριθμό· το κρίσιμο ερώτημα είναι ποιος ελέγχει την έκδοση, όχι πόσα sites τη χρησιμοποιούν. Το WAF βοηθά, αλλά δεν αντικαθιστά το patch, κατά την Cloudflare, που ενεργοποίησε προστασία περίπου εννέα ώρες πριν από τη δημόσια αποκάλυψη.

Την ίδια εβδομάδα συνέπεσαν δύο άσχετες υποθέσεις, χωρίς κοινό CVE με την PHP: η GoDaddy ανακοίνωσε την ανάκληση 404.607 πιστοποιητικών TLS λόγω απόκλισης από τα δημοσιευμένα προφίλ, χωρίς επιβεβαιωμένη κλοπή κλειδιών, ενώ το Node.js διόρθωσε δέκα ευπάθειες — ανάμεσά τους το CVE-2026-111497, υπέρβαση ορίων εγγραφής στον αποκωδικοποιητή Brotli με δυνατότητα εκτέλεσης κώδικα.