Τι ακριβώς ανακάλυψαν οι ερευνητές;
Οι δύο ευπάθειες σχετίζονται με τον τρόπο που η PHP διαχειρίζεται τη μνήμη και αντιμετωπίζει σοβαρά σφάλματα κατά την εκτέλεση αιτημάτων.
Για να καταλάβουμε το πρόβλημα, ας σκεφτούμε τι συμβαίνει όταν ένας επισκέπτης ανοίγει μια δυναμική ιστοσελίδα.
Ο browser στέλνει ένα αίτημα στον server. Η PHP επεξεργάζεται τα δεδομένα, εκτελεί τον απαραίτητο κώδικα και επιστρέφει το αποτέλεσμα.
Κατά τη διαδικασία αυτή χρησιμοποιείται μνήμη για προσωρινά δεδομένα, μεταβλητές και εσωτερικές λειτουργίες της γλώσσας.
Υπό κανονικές συνθήκες, η μνήμη αποδεσμεύεται όταν ολοκληρώνεται η επεξεργασία.
Οι ερευνητές ανακάλυψαν περιπτώσεις όπου ένα σοβαρό σφάλμα μπορούσε να διακόψει αυτή τη διαδικασία, αφήνοντας πίσω του εσωτερικά δεδομένα σε μη ασφαλή κατάσταση.
Ένα επόμενο αίτημα μπορούσε να χρησιμοποιήσει λανθασμένα αυτές τις πληροφορίες, προκαλώντας αλλοίωση μνήμης.
CVE-2026-109618: Πρόβλημα κατά την εξάντληση μνήμης
Η πρώτη ευπάθεια σχετίζεται με σφάλματα Out of Memory (OOM), δηλαδή καταστάσεις όπου η PHP εξαντλεί το επιτρεπόμενο όριο μνήμης.
Όταν αυτό συμβεί σε συγκεκριμένο σημείο της επεξεργασίας, ορισμένες εσωτερικές δομές μπορεί να παραμείνουν μερικώς αρχικοποιημένες.
Η επακόλουθη διαχείρισή τους μπορεί να προκαλέσει αλλοίωση μνήμης και να δημιουργήσει τις προϋποθέσεις για εκτέλεση κακόβουλου κώδικα.
Το ιδιαίτερα ανησυχητικό είναι ότι οι ερευνητές απέδειξαν τη δυνατότητα εκμετάλλευσης σε εγκαταστάσεις Apache με mod_php, πριν ακόμη εκτελεστεί ο κώδικας της εφαρμογής.
CVE-2026-109619: Χρήση μνήμης που έχει ήδη αποδεσμευτεί
Η δεύτερη ευπάθεια αφορά την περίπτωση όπου εσωτερικές πληροφορίες εξακολουθούν να αναφέρονται σε περιοχή μνήμης που έχει απελευθερωθεί.
Πρόκειται για μια κατηγορία προβλημάτων γνωστή ως Use After Free.
Φανταστείτε ότι ένα πρόγραμμα έχει κρατήσει τη διεύθυνση μιας περιοχής μνήμης. Η περιοχή αποδεσμεύεται, αλλά το πρόγραμμα συνεχίζει να τη χρησιμοποιεί σαν να περιέχει ακόμη έγκυρα δεδομένα.
Αυτό μπορεί να προκαλέσει κατάρρευση της εφαρμογής ή, σε σοβαρότερες περιπτώσεις, να επιτρέψει σε έναν επιτιθέμενο να επηρεάσει τη συμπεριφορά της.
Οι ερευνητές κατάφεραν να αποδείξουν ότι και αυτή η αδυναμία μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα.
Γιατί είναι τόσο επικίνδυνες αυτές οι ευπάθειες;
Ο μεγαλύτερος κίνδυνος είναι η δυνατότητα Remote Code Execution (RCE), δηλαδή απομακρυσμένης εκτέλεσης κώδικα.
Σε ένα επιτυχημένο σενάριο επίθεσης, ο επιτιθέμενος μπορεί να εκτελέσει εντολές με τα δικαιώματα της διεργασίας PHP, χωρίς να έχει προηγουμένως συνδεθεί στην εφαρμογή.
Ανάλογα με τη διαμόρφωση του συστήματος και τα διαθέσιμα δικαιώματα, μια τέτοια παραβίαση μπορεί να οδηγήσει σε ανάγνωση ευαίσθητων αρχείων, υποκλοπή δεδομένων, αλλοίωση ιστοσελίδων ή εγκατάσταση κακόβουλου λογισμικού.
Δεν σημαίνει ότι ο επιτιθέμενος αποκτά αυτομάτως δικαιώματα διαχειριστή ολόκληρου του server. Ωστόσο, ακόμη και τα δικαιώματα ενός web application μπορούν να προσφέρουν πρόσβαση σε ιδιαίτερα σημαντικές πληροφορίες.
Η ερευνητική ομάδα της Wiz απέδειξε επίσης τη δυνατότητα ανάγνωσης δεδομένων από τη μνήμη της PHP, όπως κωδικών, authentication tokens και API keys.
Επηρεάζονται WordPress, Laravel και άλλες εφαρμογές;
Ναι, το πρόβλημα μπορεί να επηρεάσει οποιαδήποτε εφαρμογή εκτελείται πάνω σε ευάλωτη εγκατάσταση PHP.
Στην κατηγορία αυτή περιλαμβάνονται ιστοσελίδες WordPress, εφαρμογές Laravel, καθώς και συστήματα Drupal, Joomla και άλλα PHP-based projects.
Η Wiz παρουσίασε επιτυχημένες δοκιμές απομακρυσμένης εκτέλεσης κώδικα σε περιβάλλοντα WordPress, Drupal και Joomla.
Αυτό όμως δεν σημαίνει ότι κάθε εγκατάσταση αυτών των συστημάτων μπορεί να παραβιαστεί με τον ίδιο τρόπο. Η εκμετάλλευση εξαρτάται από την έκδοση PHP, τη διαμόρφωση του server και τις συνθήκες εκτέλεσης.
Σημαντική διευκρίνιση: Το κενό ασφαλείας δεν βρίσκεται στο WordPress ή στο Laravel, αλλά στην ίδια την PHP. Επομένως, η απλή αναβάθμιση ενός CMS ή των plugins του δεν αρκεί για να επιδιορθώσει το συγκεκριμένο πρόβλημα.
Ποιες εκδόσεις PHP πρέπει να αναβαθμιστούν;
Στις 21 Οκτωβρίου 2026, η ομάδα ανάπτυξης της PHP κυκλοφόρησε τέσσερις επείγουσες ενημερώσεις ασφαλείας.
| Σειρά PHP | Έκδοση με τις διορθώσεις |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Οι παλαιότερες εκδόσεις των παραπάνω σειρών χρειάζονται ενημέρωση.
Επιπλέον, οι εκδόσεις PHP 8.1 και παλαιότερες δεν λαμβάνουν πλέον τακτικές διορθώσεις ασφαλείας από το επίσημο PHP project.
Ορισμένοι προμηθευτές Linux και hosting εταιρείες διαθέτουν ειδικά ενημερωμένα πακέτα για παλιότερες σειρές PHP. Αυτά περιλαμβάνουν τις απαραίτητες διορθώσεις χωρίς να αλλάζει υποχρεωτικά ο κύριος αριθμός έκδοσης.
Για παράδειγμα, η cPanel ανακοίνωσε διορθωμένα πακέτα EasyApache για PHP 7.4, 8.0 και 8.1.
Επομένως, ο έλεγχος δεν πρέπει να περιορίζεται μόνο στον αριθμό έκδοσης. Χρειάζεται και επιβεβαίωση ότι το εγκατεστημένο πακέτο περιλαμβάνει τις συγκεκριμένες ενημερώσεις ασφαλείας.
Η PHP 8.2, παρότι λαμβάνει τώρα διορθώσεις, αναμένεται να φτάσει στο τέλος της επίσημης υποστήριξής της στις 31 Δεκεμβρίου 2026.
Τι πρέπει να κάνουν άμεσα οι διαχειριστές ιστοσελίδων;
Η προτεραιότητα είναι η εγκατάσταση των ενημερώσεων ασφαλείας της PHP και η επιβεβαίωση ότι χρησιμοποιούνται από την παραγωγική εφαρμογή.
Ελέγξτε την έκδοση PHP. Στο WordPress, μεταβείτε στο Εργαλεία → Υγεία ιστότοπου → Πληροφορίες → Διακομιστής. Εναλλακτικά, ελέγξτε το περιβάλλον διαχείρισης του hosting.
Ελέγξτε τις διαθέσιμες ενημερώσεις. Για εγκαταστάσεις cPanel, Plesk ή Linux servers, αναζητήστε τα διορθωμένα πακέτα του αντίστοιχου προμηθευτή.
Αναβαθμίστε την PHP. Κρατήστε αντίγραφο ασφαλείας και ελέγξτε τη συμβατότητα των εφαρμογών, χωρίς να καθυστερήσετε αδικαιολόγητα την εγκατάσταση της διόρθωσης.
Ελέγξτε για ύποπτη δραστηριότητα. Εξετάστε τα αρχεία καταγραφής για ασυνήθιστα αιτήματα, επαναλαμβανόμενα σφάλματα και μη αναμενόμενες διεργασίες.
Επιβεβαιώστε την εφαρμογή της διόρθωσης. Βεβαιωθείτε ότι οι PHP workers χρησιμοποιούν πλέον τον ενημερωμένο κώδικα και ότι έχουν γίνει οι απαραίτητες επανεκκινήσεις.
Η χρήση Web Application Firewall (WAF), όπως οι προστασίες της Cloudflare, μπορεί να περιορίσει ορισμένα σενάρια επίθεσης.
Ωστόσο, η ίδια η ομάδα ασφαλείας της PHP τονίζει ότι οι προσωρινές προστασίες δεν αποτελούν ολοκληρωμένη λύση. Η εγκατάσταση της ενημέρωσης παραμένει απαραίτητη.
Η βρετανική υπηρεσία κυβερνοασφάλειας NCSC συμβουλεύει τους οργανισμούς που δεν μπορούν να αντιμετωπίσουν άμεσα το πρόβλημα να εξετάσουν ακόμη και την προσωρινή αποσύνδεση ευάλωτων συστημάτων από το διαδίκτυο.
Ο ρόλος της Τεχνητής Νοημοσύνης στην ανακάλυψη
Μία από τις πιο ενδιαφέρουσες πλευρές της υπόθεσης είναι ο τρόπος εντοπισμού των ευπαθειών.
Η ερευνητική εταιρεία Calif χρησιμοποίησε το μοντέλο GPT-5.6 Sol της OpenAI, στο πλαίσιο της πρωτοβουλίας Patch the Planet.
Παράλληλα, η Wiz πραγματοποίησε ανεξάρτητη έρευνα αξιοποιώντας εργαλεία AI, μεταξύ των οποίων μοντέλα της Google και της OpenAI.
Οι δυνατότητες αυτές βοήθησαν τους ερευνητές να αναλύσουν πολύπλοκες αλληλεπιδράσεις στη διαχείριση μνήμης και να επιβεβαιώσουν πρακτικά σενάρια εκμετάλλευσης.
Υπάρχει όμως μια σημαντική λεπτομέρεια: το πρόβλημα δεν εντοπίστηκε για πρώτη φορά αποκλειστικά από την AI.
Σύμφωνα με το PHP Foundation, ενδείξεις για την πρώτη ευπάθεια είχαν εμφανιστεί ήδη το 2024, κατά την αντιμετώπιση ευρημάτων ενός εξωτερικού ελέγχου ασφαλείας.
Η ομάδα ανάπτυξης δυσκολευόταν να επιλέξει μια αποτελεσματική διόρθωση χωρίς σοβαρές επιπτώσεις στη συμβατότητα ή στην απόδοση της γλώσσας.
Οι μεταγενέστερες έρευνες, με τη βοήθεια AI, απέδειξαν πόσο σοβαρό ήταν πραγματικά το πρόβλημα. Έτσι, η αντιμετώπισή του απέκτησε απόλυτη προτεραιότητα.
Το PHP Foundation αναγνώρισε δημόσια ότι η καθυστέρηση σχετιζόταν και με περιορισμένους ανθρώπινους πόρους και δυσκολίες στη διαδικασία λήψης αποφάσεων.
Μια προειδοποίηση για ολόκληρο το οικοσύστημα του web
Σύμφωνα με εκτιμήσεις που επικαλούνται οι ερευνητές, η PHP χρησιμοποιείται σε περίπου 70% των ιστοσελίδων παγκοσμίως. Αυτό δεν σημαίνει ότι το ίδιο ποσοστό μπορεί να παραβιαστεί, καθώς η πραγματική έκθεση εξαρτάται από τις εγκατεστημένες εκδόσεις και τις διαθέσιμες διορθώσεις.
Το περιστατικό αποκαλύπτει όμως πόσο μεγάλος μπορεί να είναι ο αντίκτυπος ενός προβλήματος σε μια θεμελιώδη τεχνολογία.
Μια ευπάθεια σε ένα συγκεκριμένο plugin μπορεί να επηρεάζει χιλιάδες ιστοσελίδες. Μια ευπάθεια στον ίδιο τον PHP engine έχει τη δυνατότητα να επηρεάσει πολύ μεγαλύτερο μέρος του διαδικτύου.
Παράλληλα, η υπόθεση δείχνει ότι η Τεχνητή Νοημοσύνη αλλάζει τον τρόπο που πραγματοποιούνται οι έλεγχοι ασφαλείας.
Προβλήματα που απαιτούσαν εξαιρετικά εξειδικευμένη και χρονοβόρα ανάλυση μπορούν πλέον να εξεταστούν αποτελεσματικότερα με εργαλεία AI.
Αυτό αποτελεί ευκαιρία για τους ερευνητές ασφαλείας, αλλά και πρόσθετο κίνδυνο εφόσον αντίστοιχες δυνατότητες χρησιμοποιηθούν από επιτιθέμενους.
Συμπέρασμα
Το PHP2Shell αποτελεί μία από τις σοβαρότερες πρόσφατες υποθέσεις ασφαλείας στο οικοσύστημα της PHP.
Οι διορθώσεις είναι ήδη διαθέσιμες και η προτεραιότητα είναι να εγκατασταθούν σε όλα τα συστήματα που επηρεάζονται.
Δεν υπάρχει λόγος πανικού ή συμπεράσματος ότι κάθε PHP website έχει ήδη παραβιαστεί. Υπάρχει, όμως, σαφής λόγος για άμεσο τεχνικό έλεγχο.
Το σημαντικότερο μάθημα δεν αφορά μόνο την PHP.
Αφορά την ανάγκη συνεχούς συντήρησης των τεχνολογιών πάνω στις οποίες στηρίζεται το σύγχρονο διαδίκτυο, ακόμη και όταν οι εφαρμογές φαίνεται να λειτουργούν απολύτως φυσιολογικά.
Φόρτωση σχολίων…