Δύο κρίσιμα κενά PHP: το patch δεν αποκλείει προηγούμενη παραβίαση

27 Οκτωβρίου 2026 στις 08:18 π.μ.|Συντάκτης: Συντακτική ομάδα QUASA|5 λεπτά ανάγνωσης

Στις 23 Οκτωβρίου 2026, η Εθνική Αρχή Κυβερνοασφάλειας, μέσω της EL-CSIRT, προειδοποίησε για δύο κρίσιμες ευπάθειες PHP: τις CVE-2026-109618 και CVE-2026-109619, με βαθμολογία CVSS v4.0 9,2 η καθεμία. Μπορούν να επιτρέψουν απομακρυσμένη εκτέλεση κώδικα χωρίς αυθεντικοποίηση. Η αρχή ζητά άμεση ενημέρωση των επηρεαζόμενων συστημάτων και εξέταση ύποπτης δραστηριότητας, επειδή το patch δεν αποκλείει παραβίαση που προηγήθηκε.

Οι ανακοινώσεις ασφαλείας της PHP ορίζουν ως διορθωμένες τις εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35, που διατέθηκαν στις 21 Οκτωβρίου 2026. Η κρίσιμη διάκριση για έναν διαχειριστή είναι διπλή: ποια PHP εξυπηρετεί πραγματικά τα αιτήματα του ιστότοπου και τι μπορεί να συνέβη όσο λειτουργούσε η ευάλωτη έκδοση.

Πού βρίσκεται η ευάλωτη PHP

Προτεραιότητα έχουν οι υπηρεσίες που δέχονται αιτήματα από το διαδίκτυο, αλλά η απογραφή δεν σταματά στους δημόσιους ιστότοπους. Εσωτερικές εφαρμογές, διαχειριστικές διεπαφές και προϊόντα τρίτων μπορεί επίσης να χρησιμοποιούν PHP. Η ενημέρωση ενός CMS, όπως το WordPress, το Joomla ή το Drupal, δεν διορθώνει από μόνη της την εγκατάσταση PHP πάνω στην οποία εκτελείται.

Το πεδίο περιλαμβάνει PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed όταν εξυπηρετούν αιτήματα ιστού. Για το mod_php έχει παρουσιαστεί διαδρομή εκμετάλλευσης στην οποία ένα αίτημα χωρίς αυθεντικοποίηση ενεργοποιεί την επίθεση πριν εκτελεστεί ο κώδικας της εφαρμογής. Αυτό δίνει ιδιαίτερη προτεραιότητα στην έκθεσή του, χωρίς να εξαιρεί τις υπόλοιπες διαμορφώσεις από την ενημέρωση.

Το ενδεχόμενο έκθεσης οδήγησε ήδη σε προληπτικές διακοπές στην Ευρώπη. Στις 21 Οκτωβρίου, η ολλανδική Logius έθεσε προσωρινά εκτός λειτουργίας, μεταξύ άλλων, τους ιστότοπους DigiD.nl και MijnOverheid.nl· ανακοίνωσε στις 22 Οκτωβρίου ότι οι ιστότοποι ήταν ξανά διαθέσιμοι. Η εφαρμογή DigiD και η υποκείμενη υπηρεσία ταυτοποίησης παρέμειναν διαθέσιμες. Η προληπτική διακοπή δείχνει πώς ένας φορέας περιόρισε την έκθεση, όχι ότι διαπιστώθηκε παραβίαση.

Ποια έκδοση διορθώνει κάθε κλάδο

Για τις επίσημες εκδόσεις, η αντιστοίχιση γίνεται μέσα στον ίδιο κλάδο PHP. Ο διαχειριστής χρειάζεται να ταυτοποιήσει την έκδοση που χρησιμοποιεί η υπηρεσία ιστού, επειδή η PHP της γραμμής εντολών ή μιας άλλης εφαρμογής στον ίδιο διακομιστή μπορεί να είναι διαφορετική.

PHP 8.5.11 ή παλαιότερη του κλάδου 8.5: ενημέρωση σε 8.5.12.
PHP 8.4.26 ή παλαιότερη του κλάδου 8.4: ενημέρωση σε 8.4.27.
PHP 8.3.35 ή παλαιότερη του κλάδου 8.3: ενημέρωση σε 8.3.36.
PHP 8.2.34 ή παλαιότερη του κλάδου 8.2: ενημέρωση σε 8.2.35.

Στο PHP-FPM ελέγχεται ο κλάδος και το πακέτο που χρησιμοποιεί κάθε ενεργό pool. Στο mod_php μετρά η έκδοση του module που έχει φορτώσει ο Apache. Αν η εγκατάσταση προέρχεται από διανομή Linux ή προμηθευτή μακροχρόνιας υποστήριξης, η επιβεβαίωση γίνεται με την ανακοίνωση ασφαλείας και την έκδοση του δικού του πακέτου: μια διόρθωση μπορεί να έχει ενσωματωθεί χωρίς να αλλάξει ο βασικός αριθμός έκδοσης PHP.

Οι κλάδοι PHP 8.1 και παλαιότεροι δεν λαμβάνουν πλέον τακτικές ενημερώσεις από το έργο PHP. Για τις 7.4, 8.0 και 8.1 διατέθηκαν ελάχιστες διορθώσεις στον πηγαίο κώδικα, ενώ ορισμένοι διανομείς παρέχουν δικά τους διορθωμένα πακέτα. Επομένως, μια παλιά εγκατάσταση χρειάζεται συγκεκριμένη επιβεβαίωση από τον προμηθευτή της ή μετάβαση σε υποστηριζόμενο κλάδο· ο αριθμός έκδοσης μόνος του δεν αρκεί για να κριθεί το πακέτο.

Τι καλύπτουν τα προσωρινά μέτρα

Όταν το patch δεν μπορεί να εγκατασταθεί αμέσως, ο περιορισμός πρόσβασης ή η απομόνωση της ευάλωτης υπηρεσίας από το δημόσιο δίκτυο μειώνει την έκθεση. Πρόκειται για προσωρινή απόφαση που πρέπει να σταθμίζει τον κίνδυνο και την επίπτωση στη λειτουργία. Οι αλλαγές παραμετροποίησης καλύπτουν συγκεκριμένες διαδρομές επίθεσης, αλλά η ενημέρωση σε διορθωμένη έκδοση ή επιβεβαιωμένο πακέτο παραμένει η πλήρης αντιμετώπιση των δύο ευπαθειών.

Η CVE-2026-109618 αφορά χειρισμό αποτυχίας κατανομής μνήμης: ένα αίτημα μπορεί να διακοπεί ενώ εσωτερικά δεδομένα δεν έχουν αρχικοποιηθεί πλήρως, και ο καθαρισμός να τα αντιμετωπίσει ως έγκυρα. Η προσωρινή ρύθμιση memory_limit=-1 αφαιρεί μια ελεγχόμενη αιτία τέτοιας αποτυχίας, όχι κάθε πιθανή αποτυχία κατανομής. Περιορισμοί στο μέγεθος των εισερχόμενων αιτημάτων μπορούν επίσης να μειώσουν την έκθεση, εφόσον ισχύουν στη διαμόρφωση που χειρίζεται πράγματι τα αιτήματα.

Η CVE-2026-109619 αφορά εσωτερική κατάσταση που μπορεί να παραμείνει αφού αποδεσμευτεί η μνήμη της και να χρησιμοποιηθεί από επόμενο αίτημα στον ίδιο worker. Η προσωρινή απενεργοποίηση του session.upload_progress.enabled και η επανεκκίνηση όλων των workers καλύπτουν επιβεβαιωμένες διαδρομές εκμετάλλευσης, όχι κάθε παραλλαγή. Για τον κλάδο 8.5 αναφέρεται επιπλέον η ρύθμιση fatal_error_backtraces=0 για μια συγκεκριμένη διαδρομή. Οι ρυθμίσεις πρέπει να εφαρμόζονται πριν από την επεξεργασία αιτημάτων, στο ενεργό περιβάλλον της υπηρεσίας.

Ο έλεγχος μετά την εγκατάσταση του patch

Η επιβεβαίωση της ενεργής έκδοσης και η επανεκκίνηση των σχετικών υπηρεσιών δείχνουν αν λειτουργεί πλέον ο διορθωμένος κώδικας. Απαντούν σε διαφορετικό ερώτημα από την εξέταση προηγούμενης δραστηριότητας. Γι’ αυτό ο έλεγχος πρέπει να καλύψει τα διαθέσιμα αρχεία καταγραφής του διακομιστή ιστού και της PHP για την περίοδο κατά την οποία η ευάλωτη εγκατάσταση εξυπηρετούσε αιτήματα.

Ιδιαίτερη σημασία έχουν ενδείξεις μη εξουσιοδοτημένης εκτέλεσης κώδικα ή εντολών και άλλη ασυνήθιστη συμπεριφορά της υπηρεσίας. Τα σχετικά logs και τα υπόλοιπα διαθέσιμα στοιχεία πρέπει να διατηρηθούν ώστε ένα πιθανό περιστατικό να μπορεί να διερευνηθεί. Η παρουσία ευάλωτης έκδοσης δείχνει έκθεση σε κίνδυνο, αλλά η διαπίστωση παραβίασης απαιτεί εξέταση των στοιχείων.

Αν η διερεύνηση επιβεβαιώσει περιστατικό κυβερνοασφάλειας, οι επηρεαζόμενοι φορείς ακολουθούν τις προβλεπόμενες διαδικασίες αναφοράς προς την Εθνική Αρχή Κυβερνοασφάλειας. Η εγκατάσταση του patch κλείνει τις συγκεκριμένες ευπάθειες για τα επόμενα αιτήματα· τα διατηρημένα στοιχεία είναι εκείνα που επιτρέπουν να εξακριβωθεί τι συνέβη πριν τεθεί σε λειτουργία.

Διαβάστε επίσης:

Κοινοποίηση: