Η PHP διαθέτει επείγουσες ενημερώσεις για κρίσιμα κενά ασφαλείας PHP2Shell

Την Τετάρτη 21 Οκτωβρίου, οι διαχειριστές της PHP εξέδωσαν έκτακτες ενημερώσεις ασφαλείας για δύο κρίσιμα κενά στον πυρήνα της γλώσσας προγραμματισμού. Τα σφάλματα, γνωστά συλλογικά ως PHP2Shell, επιτρέπουν σε έναν εισβολέα χωρίς λογαριασμό να εκτελέσει κώδικα σε διακομιστές ιστού. Το BleepingComputer ανέφερε ότι οι διορθωμένες εκδόσεις είναι οι PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Τα κενά καταγράφονται ως CVE-2026-109618 και CVE-2026-109619, με βαθμολογία 9.2 στην κλίμακα CVSS v4.0. Σύμφωνα με το The Hacker News, η PHP προχώρησε στη δημοσίευση γύρω στις 14:00 UTC, μία ημέρα μετά τη διαρροή λεπτομερειών πριν από την προγραμματισμένη αποκάλυψη της 22ας Οκτωβρίου.bleepingcomputer.com+1

Το διακύβευμα είναι μεγάλο, καθώς τα κενά εντοπίζονται στο ίδιο το runtime και όχι σε μεμονωμένες εφαρμογές. Η Wiz Research, μία από τις ομάδες που τα ανακάλυψαν, δηλώνει ότι η PHP τροφοδοτεί περίπου το 70% των ιστοσελίδων παγκοσμίως και ότι κάθε έκδοση της τελευταίας δεκαετίας, από την 5.4 και μετά, φέρει τουλάχιστον ένα από τα σφάλματα.ncsc.gov.uk

Κυβερνήσεις θέτουν ιστότοπους εκτός σύνδεσης

Κυβερνητικοί φορείς στην Ολλανδία και τη Φινλανδία έθεσαν ιστοσελίδες εκτός σύνδεσης για προληπτικούς λόγους, όπως μετέδωσε το Reuters. Υπηρεσίες κυβερνοασφάλειας σε Ευρώπη, Αυστραλία, Ιαπωνία και Βρετανία κάλεσαν τους χρήστες της PHP να προχωρήσουν άμεσα σε ενημέρωση ή να απενεργοποιήσουν τους ιστότοπούς τους. Η ολλανδική υπηρεσία κυβερνοασφάλειας έκλεισε τη δική της ιστοσελίδα, όπως και η Tweede Kamer, η κάτω βουλή του ολλανδικού κοινοβουλίου, καθώς και το Εθνικό Ινστιτούτο Δημόσιας Υγείας και Περιβάλλοντος, σύμφωνα με το BBC. Το Εθνικό Κέντρο Κυβερνοασφάλειας της Βρετανίας συμβούλευσε ότι «όπου η άμεση αποκατάσταση δεν είναι εφικτή, οι οργανισμοί θα πρέπει να εξετάσουν το ενδεχόμενο να θέσουν το σύστημα εκτός σύνδεσης».reuters.com+1

Πριν από την κυκλοφορία των ενημερώσεων, ο CTO της Cloudflare, Dane Knecht, δήλωσε: «Βλέπουμε να εμφανίζονται πρώιμες επιθέσεις», χαρακτηρίζοντας τους κανόνες του firewall της εταιρείας ως «μόνο προσωρινή λύση». Δεν έχει επιβεβαιωθεί καμία επιτυχής παραβίαση. Μέχρι τις 11:26 UTC, η watchTowr δεν είχε εντοπίσει εκμετάλλευση στην πράξη.thehackernews.com+1

Εκτεθειμένες οι παλαιότερες εκδόσεις

Τα κενά επηρεάζουν τα PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Η ομάδα της PHP αναφέρει ότι το mod_php ενέχει τον μεγαλύτερο κίνδυνο, καθώς ένα αποδεδειγμένο exploit μπορεί να ενεργοποιηθεί από ένα μη εξουσιοδοτημένο αίτημα «πριν εκτελεστεί οποιοσδήποτε κώδικας εφαρμογής». Οι εκδόσεις 8.1 και παλαιότερες δεν υποστηρίζονται πλέον και δεν λαμβάνουν επίσημες ενημερώσεις. Ωστόσο, δεδομένης της σοβαρότητας των σφαλμάτων, η ομάδα της PHP δημοσίευσε ελάχιστα backports πηγαίου κώδικα για τις εκδόσεις 7.4, 8.0 και 8.1. Οι εισβολείς μπορούν επίσης να διαβάσουν τη μνήμη εργασίας, η οποία ενδέχεται να περιέχει κωδικούς πρόσβασης, κλειδιά API και πιστοποιητικά. Η ενημέρωση μιας εφαρμογής όπως το WordPress δεν ενημερώνει το runtime της PHP που βρίσκεται από κάτω.bleepingcomputer.com+1

Ανακάλυψη με τη βοήθεια τεχνητής νοημοσύνης

Τα κενά ανακαλύφθηκαν από τη Wiz, την Calif και την ομάδα Codex Security της OpenAI. Σύμφωνα με το The Hacker News, ο υποκείμενος κώδικας υπήρχε στην PHP για περισσότερο από μία δεκαετία. Η Wiz συνέκρινε το PHP2Shell με το Heartbleed και το Log4Shell. Ανέφερε ότι τα προηγμένα μοντέλα τεχνητής νοημοσύνης «μείωσαν σημαντικά» το εμπόδιο για τη μετατροπή ενός μακροχρόνιου σφάλματος σε ένα λειτουργικό exploit. Πριν από την κυκλοφορία, ο προγραμματιστής του πυρήνα της PHP, Gina Peter Banyard, προειδοποίησε ότι «η μόνη άμυνα είναι η ενημέρωση/αναβάθμιση της PHP».thehackernews.com+1