Η PHP ετοιμάζει επείγουσες διορθώσεις για δύο κρίσιμα κενά ασφαλείας

Η ομάδα ασφαλείας της PHP πρόκειται να δημοσιεύσει σήμερα, Τετάρτη 21 Οκτωβρίου, στις 14:00 UTC, μια έκτακτη ενημέρωση ασφαλείας για την αντιμετώπιση δύο ευπαθειών, καθεμία από τις οποίες φέρει βαθμολογία 9.2 στο σύστημα CVSS v4.0, σύμφωνα με προειδοποίηση στο php.net. Η ανακοίνωση καλεί όλους τους χρήστες PHP να προετοιμαστούν ώστε να προχωρήσουν σε αναβάθμιση μόλις καταστεί διαθέσιμη η έκδοση. Η ομάδα ανέφερε ότι ενδέχεται να προχωρήσει σε νωρίτερη δημοσίευση εάν οι λεπτομέρειες γίνουν δημόσιες ή αν εμφανιστούν επιθέσεις. Η προειδοποίηση ήρθε μετά τη διαρροή πληροφοριών για τα σφάλματα που βρίσκονταν υπό εμπάργκο. Η PHP τροφοδοτεί ένα τεράστιο μέρος του διαδικτύου, επομένως οι διαχειριστές προετοιμάζονται για μια διόρθωση της οποίας οι τεχνικές λεπτομέρειες παραμένουν άγνωστες.bleepingcomputer.com

Διαρροή και επιβεβαίωση

Στις 20 Οκτωβρίου, μια ανάρτηση στο Hacker News, η οποία έχει πλέον διαγραφεί, υποστήριζε ότι δύο κρίσιμα κενά απομακρυσμένης εκτέλεσης κώδικα στην PHP θα αποκαλύπτονταν στις 22 Οκτωβρίου. Η ανάρτηση τα κατέγραψε ως CVE-2026-109618 και CVE-2026-109619, δίνοντας και στα δύο βαθμολογία CVSS 10.0, όπως ανέφερε το BleepingComputer. Η εταιρεία ασφαλείας watchTowr επιβεβαίωσε την ύπαρξη των κενών. "Μπορούμε να επιβεβαιώσουμε ότι αυτές οι ευπάθειες είναι όντως πραγματικές", δήλωσε ο διευθύνων σύμβουλος Benjamin Harris. Ανέφερε ότι τα σφάλματα φαίνεται να επηρεάζουν τις εκδόσεις PHP 5, 6, 7 και 8. Η watchTowr πιστεύει ότι έχει αναπαράγει το CVE-2026-109618 και δεν έχει εντοπίσει εκμετάλλευση σε πραγματικές συνθήκες.bleepingcomputer.com

Η PHP δημοσίευσε την ανακοίνωσή της στις 19:33 UTC στις 20 Οκτωβρίου, ορίζοντας την κυκλοφορία μία ημέρα πριν από την ημερομηνία εμπάργκο που είχε αναφέρει η watchTowr. Η ανακοίνωση δεν κατονομάζει κανένα CVE, και ο ισχυρισμός ότι επηρεάζονται όλες οι εκδόσεις από την PHP 5 και μετά δεν έχει επιβεβαιωθεί. Οι ερευνητές έχουν δώσει στο ζεύγος το όνομα "php2shell". Το Ars Technica σημείωσε μια μη επιβεβαιωμένη αναφορά ότι ένα exploit PHP2Shell μπορεί να εκτελέσει κώδικα απομακρυσμένα. Η Huntress ανέφερε ότι ένα σύντομο βίντεο του exploit αναρτήθηκε για λίγο στο διαδίκτυο και στη συνέχεια αφαιρέθηκε, ενώ δεν γνωρίζει την ύπαρξη δημόσιου κώδικα εκμετάλλευσης.huntress.com+2

Οι παλαιότερες εκδόσεις ενδέχεται να μην λάβουν διόρθωση

Οι διορθώσεις μπορούν να εφαρμοστούν μόνο στις τέσσερις υποστηριζόμενες εκδόσεις της PHP, από την 8.2 έως την 8.5 (The Hacker News; PHP). Οι εκδόσεις 8.1, 8.0, 7.x και 5.x έχουν φτάσει στο τέλος της υποστήριξής τους. Εάν τα κενά τις επηρεάζουν, αυτές οι εγκαταστάσεις δεν θα λάβουν επίσημη διόρθωση. Η εταιρεία ασφαλείας Mallory κατέγραψε περίπου 884.000 διακομιστές εκτεθειμένους στο διαδίκτυο που αναφέρουν ότι χρησιμοποιούν PHP 8.1 ή παλαιότερη, σύμφωνα με το The Hacker News.thehackernews.com+1

Προετοιμασία για την ενημέρωση

Η CERT-EU συμβούλευσε τους οργανισμούς να προετοιμαστούν για άμεση εφαρμογή των διορθώσεων. Όπου αυτό δεν είναι εφικτό, πρότεινε την απομόνωση των εφαρμογών που είναι εκτεθειμένες στο διαδίκτυο από τα δημόσια δίκτυα. Η Huntress προέτρεψε τους διαχειριστές να καταγράψουν κάθε εγκατάσταση PHP, συμπεριλαμβανομένων των αντιγράφων που περιλαμβάνονται σε συσκευές και πίνακες ελέγχου όπως το cPanel και το Plesk, και να ενημερώσουν πρώτα τα συστήματα που είναι προσβάσιμα από το διαδίκτυο. Συνέστησε επίσης την παρακολούθηση διεργασιών PHP που εκκινούν κελύφη (shells) ή κατεβάζουν εργαλεία.cert.europa.eu+1

Η PHP δήλωσε ότι "πλήρεις λεπτομέρειες, οι επηρεαζόμενες εκδόσεις και οι διορθωμένες εκδόσεις θα δημοσιευθούν μαζί με την κυκλοφορία". Μέχρι τότε, παραμένει ασαφές ποιο τμήμα της PHP επηρεάζεται και αν οι επιθέσεις απαιτούν συγκεκριμένη παραμετροποίηση.php.net