Το PHP Foundation παραδέχεται δομική αποτυχία στην καθυστέρηση των διορθώσεων

Το PHP Foundation παραδέχθηκε ότι η καθυστέρηση στη διόρθωση ενός από τα δύο κρίσιμα κενά ασφαλείας στη γλώσσα προγραμματισμού PHP ήταν αποτέλεσμα δομικής αποτυχίας. Η παραδοχή έγινε την Τετάρτη 21 Οκτωβρίου, μετά την κυκλοφορία επειγουσών διορθώσεων και την απόφαση κυβερνήσεων ανά τον κόσμο να θέσουν ιστοσελίδες εκτός λειτουργίας για προληπτικούς λόγους, όπως μετέδωσε το Reuters μέσω του The Standard. Σύμφωνα με το ίδρυμα, ένας ερευνητής εντόπισε τα πρώτα σημάδια ενός κενού το 2024, αλλά δεν βρέθηκε τότε συγκεκριμένος τρόπος εκμετάλλευσής του, με αποτέλεσμα να δοθεί προτεραιότητα σε άλλα προβλήματα με πιο ξεκάθαρο αντίκτυπο.thestandard.com.hk

Μια διόρθωση που βάλτωσε για μήνες

Σε ανάρτηση στο ιστολόγιό του, αποσπάσματα της οποίας δημοσίευσε το LWN, το ίδρυμα ανέφερε ότι η ομάδα ασφαλείας του πρότεινε διάφορες αντικρουόμενες λύσεις. Κάθε μία είχε κόστος: η μία κατέστρεφε τη συμβατότητα προς τα πίσω, η άλλη δημιουργούσε νέο κίνδυνο άρνησης υπηρεσίας (DoS) και η τρίτη απαιτούσε αλλαγές σε πολλά πρόσθετα τρίτων. Η ομάδα λάμβανε αποφάσεις με συναίνεση και φοβόταν τις επιπτώσεις από την επιλογή της λάθος λύσης. Επειδή δεν ήταν γνωστός τρόπος για απομακρυσμένη εκτέλεση κώδικα και οι ελάχιστοι βασικοί προγραμματιστές που γνωρίζουν καλά τη μηχανή είχαν πολλά άλλα καθήκοντα, η εργασία σταματούσε και ξεκινούσε επανειλημμένα για μήνες. Δεν θα προσποιηθούμε το αντίθετο: η καθυστέρηση ήταν δομική αποτυχία, που προκλήθηκε τόσο από τη διαδικασία λήψης αποφάσεων της ομάδας ασφαλείας όσο και από την έλλειψη πόρων, δήλωσε το ίδρυμα.lwn.net

Το ζήτημα έγινε ξανά επείγον στις 11 Αυγούστου. Εκείνη την ημέρα, η εταιρεία ασφαλείας Calif και η OpenAI ανέφεραν ανεξάρτητα την ίδια βασική αιτία, με την Calif να αποδεικνύει ότι μπορούσε να εκτελέσει κώδικα απομακρυσμένα χωρίς προϋποθέσεις, ανέφερε το Cointelegraph. Το ίδρυμα δήλωσε ότι έκτοτε μετέφερε τις αποφάσεις ασφαλείας από τη συναίνεση στην πλειοψηφική ψηφοφορία και προσέλαβε δύο επιπλέον μηχανικούς. Επίσης, κάλεσε τις εταιρείες και τις κυβερνήσεις που βασίζονται στην PHP να συνεισφέρουν οικονομικά για τις εργασίες ασφαλείας, σύμφωνα με το The Next Web. Η κυκλοφορία επισπεύσθηκε κατά μία ημέρα μετά τη διαρροή των αναγνωριστικών ευπάθειας στο διαδίκτυο, ενώ το ίδρυμα επέκρινε την Chainguard για τη δημοσίευση διορθωμένων εικόνων πριν από τον συντονισμένο χρόνο κυκλοφορίας.tradingview.com+1

Ιστοσελίδες εκτός λειτουργίας

Τα σφάλματα, με την ονομασία PHP2Shell, παρακολουθούνται ως CVE-2026-109618 και CVE-2026-109619. Διορθώνονται στις εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35, ενώ κάθε εγκατάσταση PHP που εξυπηρετεί αιτήματα ιστού είναι δυνητικά επηρεασμένη, ανέφερε το The Register. Υπηρεσίες κυβερνοασφάλειας σε ΗΠΑ, Ηνωμένο Βασίλειο, Καναδά, Αυστραλία και Ευρωπαϊκή Ένωση κάλεσαν τους διαχειριστές ιστοσελίδων να τις θέσουν εκτός λειτουργίας μέχρι να ολοκληρωθεί η ενημέρωση, σύμφωνα με το Cybersecurity Dive. Ο δημοσιογράφος ασφαλείας Brian Krebs εκτίμησε ότι σχεδόν το 70 τοις εκατό των ιστοσελίδων χρειάζεται την ενημέρωση.theregister.com+2

Η Ολλανδία διέκοψε την υπηρεσία ψηφιακής ταυτοποίησής της. Ο κρατικός πάροχος πληροφορικής της Φινλανδίας, Valtori, αποσύνδεσε δημόσιες διαδικτυακές υπηρεσίες, ενώ η Γαλλία έθεσε προσωρινά εκτός λειτουργίας ιστοσελίδες νομαρχιών, ανέφερε το Cointelegraph. Το Wikimedia Foundation έθεσε επίσης εκτός λειτουργίας ορισμένες υποστηρικτικές υπηρεσίες. Η Coinbase ↗ 3.65% δήλωσε ότι δεν εντόπισε εκτεθειμένα στιγμιότυπα PHP.tradingview.com

Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) δήλωσε ότι δεν είχε παρατηρήσει εκμετάλλευση αυτών των ευπαθειών κατά τη δημοσίευση της συμβουλευτικής της. Προειδοποίησε, ωστόσο, ότι αποτελούν κίνδυνο για τους οργανισμούς εάν παραμείνουν χωρίς ενημέρωση, σύμφωνα με το Reuters.thestandard.com.hk