Δύο ιδιαίτερα σοβαρές ευπάθειες στην PHP, μία από τις πιο διαδεδομένες τεχνολογίες του διαδικτύου, προκαλούν κινητοποίηση στους παρόχους φιλοξενίας και στους διαχειριστές ιστοσελίδων. Το πρόβλημα δεν περιορίζεται στο WordPress, αλλά μπορεί να επηρεάσει ιστοσελίδες που χρησιμοποιούν Drupal, Joomla, PrestaShop, Magento και πολλές άλλες εφαρμογές.
Στις 21 Οκτωβρίου 2026, η ομάδα ανάπτυξης της PHP ανακοίνωσε επείγουσες ενημερώσεις ασφαλείας για δύο κρίσιμες ευπάθειες, οι οποίες μπορούν, υπό συγκεκριμένες συνθήκες, να επιτρέψουν σε επιτιθέμενους να εκτελέσουν κακόβουλο κώδικα σε απομακρυσμένους διακομιστές χωρίς προηγούμενη ταυτοποίηση.
Οι ευπάθειες, με αναγνωριστικά CVE-2026-109618 και CVE-2026-109619, έχουν βαθμολογία επικινδυνότητας 9,2/10 στην κλίμακα CVSS 4.0. Η υπόθεση αναφέρεται επίσης ως PHP2Shell.
Η σοβαρότητα της ανακοίνωσης οφείλεται στο γεγονός ότι το πρόβλημα δεν βρίσκεται σε κάποιο μεμονωμένο πρόσθετο ή σύστημα διαχείρισης περιεχομένου, αλλά στην ίδια την PHP, τη γλώσσα προγραμματισμού που χρησιμοποιείται για τη λειτουργία τεράστιου αριθμού ιστοσελίδων και διαδικτυακών υπηρεσιών.
Με μια ματιά
- Δύο κρίσιμες ευπάθειες εντοπίστηκαν στον πυρήνα της PHP.
- Μπορούν να επιτρέψουν απομακρυσμένη εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση διαχειριστή.
- Ενδέχεται να επηρεάζονται ιστοσελίδες WordPress, Drupal, Joomla, PrestaShop, Magento και άλλων πλατφορμών.
- Έχουν κυκλοφορήσει διορθωμένες εκδόσεις για τους υποστηριζόμενους κλάδους PHP.
- Η ενημέρωση των CMS, των plugins και των themes δεν αρκεί εάν η PHP του server παραμένει ευάλωτη.
Τι ακριβώς συνέβη με την PHP;
Η PHP αποτελεί βασικό συστατικό του σύγχρονου διαδικτύου. Εκτελείται στον διακομιστή και αναλαμβάνει λειτουργίες όπως η παραγωγή δυναμικών ιστοσελίδων, η επεξεργασία αιτημάτων χρηστών και η επικοινωνία με βάσεις δεδομένων.
Οι δύο νέες ευπάθειες αφορούν εσωτερικούς μηχανισμούς της γλώσσας.
Η πρώτη, CVE-2026-109618, σχετίζεται με προβλήματα διαχείρισης μνήμης όταν εξαντλούνται οι διαθέσιμοι πόροι. Κάτω από συγκεκριμένες συνθήκες, η εσωτερική κατάσταση της PHP μπορεί να αλλοιωθεί, δημιουργώντας δυνατότητα εκμετάλλευσης.
Η δεύτερη, CVE-2026-109619, αφορά τη διατήρηση μη έγκυρης εσωτερικής κατάστασης μεταξύ λειτουργιών, με αποτέλεσμα να είναι δυνατή η μη ασφαλής πρόσβαση σε δεδομένα μνήμης.
Το ενδεχόμενο απομακρυσμένης εκτέλεσης κώδικα (Remote Code Execution – RCE) καθιστά τέτοιες ευπάθειες ιδιαίτερα επικίνδυνες.
Μια επιτυχημένη επίθεση θα μπορούσε να επιτρέψει την εκτέλεση εντολών με τα δικαιώματα της ευάλωτης διεργασίας PHP, την τροποποίηση αρχείων ή την εγκατάσταση κακόβουλου λογισμικού.
Αυτό δεν σημαίνει ότι κάθε ιστοσελίδα με ευάλωτη PHP μπορεί να παραβιαστεί αυτόματα. Η πραγματική δυνατότητα εκμετάλλευσης εξαρτάται από την έκδοση, τη διαμόρφωση του server και τις συνθήκες λειτουργίας της εφαρμογής.
Ποιες ιστοσελίδες και πλατφόρμες επηρεάζονται;
Το σημαντικότερο στοιχείο της υπόθεσης είναι ότι οι ευπάθειες δεν αφορούν αποκλειστικά μία πλατφόρμα.
Εφόσον μια ιστοσελίδα χρησιμοποιεί ευάλωτη έκδοση PHP, ενδέχεται να επηρεάζεται ανεξάρτητα από το CMS στο οποίο έχει κατασκευαστεί.
Στις πλατφόρμες που βασίζονται στην PHP περιλαμβάνονται:
- WordPress: ιστοσελίδες, ενημερωτικά portals, blogs και ηλεκτρονικά καταστήματα WooCommerce.
- Drupal: εταιρικές ιστοσελίδες, μεγάλα portals και οργανισμοί.
- Joomla: επιχειρηματικές ιστοσελίδες και διαδικτυακές κοινότητες.
- PrestaShop: ηλεκτρονικά καταστήματα.
- Magento / Adobe Commerce: εμπορικές πλατφόρμες και μεγάλα e-commerce projects.
- Laravel, Symfony και άλλες PHP εφαρμογές: εξειδικευμένα πληροφοριακά συστήματα και διαδικτυακές υπηρεσίες.
Η παρουσία μιας από αυτές τις πλατφόρμες δεν συνεπάγεται από μόνη της ότι η ιστοσελίδα είναι ευάλωτη. Το καθοριστικό στοιχείο είναι η έκδοση και η κατάσταση ενημέρωσης της PHP που χρησιμοποιεί ο διακομιστής.
Επομένως, ακόμη και ένα πλήρως ενημερωμένο CMS μπορεί να εξακολουθεί να εκτίθεται σε κίνδυνο εάν λειτουργεί πάνω σε ευάλωτη εγκατάσταση PHP.
Αντίστοιχα, ένα παλαιότερο CMS που λειτουργεί σε διορθωμένη PHP δεν επηρεάζεται από τα συγκεκριμένα κενά της PHP, χωρίς αυτό να σημαίνει ότι είναι απαλλαγμένο από άλλες ευπάθειες.
Ποιες εκδόσεις PHP έχουν διορθωθεί;
Η ομάδα ανάπτυξης της PHP δημοσίευσε τις ακόλουθες ενημερώσεις ασφαλείας:
| Κλάδος PHP | Διορθωμένη έκδοση |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Οι εκδόσεις PHP 8.1 και παλαιότερες δεν λαμβάνουν πλέον ενημερώσεις από το επίσημο έργο PHP.
Ωστόσο, ορισμένοι προμηθευτές λειτουργικών συστημάτων και υπηρεσιών φιλοξενίας παρέχουν ειδικά διορθωμένα πακέτα, ακόμη και για παλαιότερους κλάδους.
Επομένως, δεν αρκεί πάντοτε να εξετάζει κάποιος μόνο τον αριθμό έκδοσης. Χρειάζεται να επιβεβαιώσει ότι το εγκατεστημένο πακέτο περιλαμβάνει τις διορθώσεις ασφαλείας για τις συγκεκριμένες ευπάθειες.
Η PHP 8.2 πλησιάζει επίσης στο τέλος της επίσημης υποστήριξής της, στις 31 Δεκεμβρίου 2026, γεγονός που καθιστά σκόπιμο τον προγραμματισμό μετάβασης σε νεότερο υποστηριζόμενο κλάδο.
Γιατί δεν αρκεί η ενημέρωση του WordPress ή άλλου CMS;
Οι περισσότερες γνωστές επιθέσεις σε ιστοσελίδες εκμεταλλεύονται ευπάθειες σε πρόσθετα, θέματα εμφάνισης ή στον κώδικα της εφαρμογής.
Στην προκειμένη περίπτωση, όμως, το πρόβλημα βρίσκεται σε χαμηλότερο επίπεδο: στον ίδιο τον μηχανισμό εκτέλεσης της PHP.
Αυτό σημαίνει ότι μια ιστοσελίδα μπορεί να διαθέτει ενημερωμένο WordPress, Drupal ή PrestaShop και παρ’ όλα αυτά να χρησιμοποι
