Η PHP προειδοποιεί για τρίτο κενό ασφαλείας εν μέσω παγκόσμιου αγώνα για διορθώσεις

Κυβερνήσεις, πάροχοι υπηρεσιών cloud και διαχειριστές ιστοσελίδων σε όλο τον κόσμο έσπευσαν αυτή την εβδομάδα να διορθώσουν δύο κρίσιμα κενά ασφαλείας στην PHP, τη γλώσσα προγραμματισμού που υποστηρίζει το μεγαλύτερο μέρος του διαδικτύου, μετά τον εντοπισμό τους από ερευνητές με τη βοήθεια τεχνητής νοημοσύνης. Το PHP Foundation κυκλοφόρησε επείγουσες διορθώσεις την Τετάρτη 21 Οκτωβρίου και δήλωσε ότι "όλοι οι χρήστες της PHP ενθαρρύνονται έντονα να προχωρήσουν άμεσα σε ενημέρωση", ενώ η OpenAI ανέφερε ότι το μοντέλο GPT-5.6 Sol βοήθησε στον εντοπισμό των σφαλμάτων.bbc.com

Τα κενά, που καταγράφονται ως CVE-2026-109618 και CVE-2026-109619 και αποκαλούνται συλλογικά "PHP2Shell", μπορούν να επιτρέψουν σε επιτιθέμενους να εκτελούν κώδικα σε έναν διακομιστή χωρίς να απαιτείται σύνδεση. Και τα δύο έχουν βαθμολογηθεί με 9.2 στην κλίμακα CVSS. Οι διορθώσεις περιλαμβάνονται στις εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Τα κενά αφορούν σχεδόν κάθε έκδοση από την 5.4 και μετά, ενώ για την PHP 8.1 και παλαιότερες δεν παρέχεται επίσημη διόρθωση. Η Wiz εκτιμά ότι η PHP τροφοδοτεί περίπου το 70% των ιστοσελίδων, ενώ η W3Techs θέτει το ποσοστό στο 75%.cbc.ca+2

Ιστοσελίδες εκτός λειτουργίας καθώς αυξάνονται οι επιθέσεις

Η Υπηρεσία Εθνικής Ασφάλειας (NSA) των ΗΠΑ συνέστησε στους οργανισμούς που δεν μπορούν να εφαρμόσουν άμεσα τις διορθώσεις να θέσουν τα συστήματά τους εκτός σύνδεσης. Το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου έδωσε παρόμοιες συμβουλές, ενώ η Ιαπωνίδα Πρωθυπουργός Sanae Takaichi προέτρεψε τους ιδιοκτήτες ιστοσελίδων να "λάβουν δράση απόψε", όπως μετέδωσε το BBC. Το Wikimedia, η φινλανδική κυβέρνηση και οι ολλανδικές αρχές κυβερνοασφάλειας έθεσαν συστήματα εκτός λειτουργίας, όπως έπραξαν και αρκετές καναδικές επαρχιακές κυβερνήσεις.bbc.com+1

Ο διευθύνων σύμβουλος της Cloudflare ↘ 1.22%, Matthew Prince, δήλωσε ότι οι απόπειρες επίθεσης στο δίκτυό της αυξήθηκαν από χιλιάδες πριν από την ανακοίνωση σε "εκατομμύρια τώρα". Η Amazon Amazon.com, Inc. ↗ 1.61% ανέφερε ότι στοχοποιήθηκε ημέρες πριν από τη δημοσιοποίηση, αλλά οι ιστοσελίδες της συνέχισαν να λειτουργούν κανονικά. Η αποκάλυψη είχε προγραμματιστεί για τις 22 Οκτωβρίου, αλλά οι λεπτομέρειες διέρρευσαν στο διαδίκτυο στις 20 Οκτωβρίου, με αποτέλεσμα οι διορθώσεις να κυκλοφορήσουν μία ημέρα νωρίτερα. Την Παρασκευή 23 Οκτωβρίου, η PHP προειδοποίησε για ένα τρίτο, χαμηλότερης επικινδυνότητας κενό ασφαλείας, το CVE-2026-115560, το οποίο θα διορθωθεί σε τακτική έκδοση.securityweek.com+2

Ο ρόλος της τεχνητής νοημοσύνης στην ανακάλυψη

Η OpenAI δήλωσε ότι η εταιρεία ασφαλείας Calif εντόπισε ένα κενό χρησιμοποιώντας το GPT-5.6 Sol μέσω του προγράμματος "Patch the Planet". Η Wiz ανακάλυψε και ανέφερε και τα δύο κενά μόνη της. Η Wiz χρησιμοποίησε διάφορα εργαλεία τεχνητής νοημοσύνης, συμπεριλαμβανομένου του πράκτορα Atlas, του Gemini 4 Argon και του GPT-5.6 Sol, σύμφωνα με το TechCrunch. Ο πρόεδρος της OpenAI, Greg Brockman, δήλωσε ότι το σφάλμα υπήρχε στην PHP για 14 χρόνια και μια περιορισμένη έκδοση που βρέθηκε το 2024 δεν είχε αντιμετωπιστεί ως σοβαρή. Η OpenAI το χαρακτήρισε "μία από τις πιο επιδραστικές ευπάθειες της πρόσφατης μνήμης". Η εταιρεία κυκλοφόρησε επίσης έναν ελεγκτή έκδοσης PHP και υποσχέθηκε 1 δισεκατομμύριο δολάρια σε επιδοτούμενη πρόσβαση στο πρόγραμμα Daybreak για τους αμυνόμενους.openai.com+4

Διαρθρωτικά ζητήματα

Το PHP Foundation χαρακτήρισε την καθυστέρηση στην επίλυση του ζητήματος από το 2024 ως "διαρθρωτική αποτυχία" που προκλήθηκε από περιορισμένους πόρους. Ανέφερε στο CBC ότι δεν έχει δει στοιχεία επιτυχημένης εκμετάλλευσης. Ωστόσο, η ομάδα CERT της Ινδίας δήλωσε ότι πολλαπλές αναφορές υποδεικνύουν εκτεταμένη εκμετάλλευση στην πράξη.csk.gov.in+1

"Τα υποκείμενα σφάλματα δεν ήταν καινούργια, αυτό που άλλαξε ήταν η ικανότητά μας να τα εντοπίσουμε", δήλωσε στο BBC ο ερευνητής Salil Kanhere από το UNSW του Σίδνεϊ.bbc.com