Κενά PHP: Οι 2 κρίσιμες ευπάθειες που δεν διορθώνει κανένα WordPress update

Ολλανδικά sites, ανάμεσά τους και της Βουλής της χώρας, έσβησαν μόνα τους τα φώτα την ίδια μέρα, από φόβο μήπως γίνουν στόχος. Η αιτία δεν ήταν κάποιο hack σε ένα μεμονωμένο site, αλλά δύο κενά PHP, στη «μηχανή» που κρύβεται πίσω από ένα τεράστιο κομμάτι του internet, από μικρά blogs μέχρι ηλεκτρονικά καταστήματα.

Οι διορθώσεις κυκλοφόρησαν στις 21 Οκτωβρίου. Μετά από δύο μέρες έντασης, η εικόνα είναι πλέον λίγο πιο ήρεμη, αλλά υπάρχει μια λεπτομέρεια που πολλοί ιδιοκτήτες sites δεν έχουν καταλάβει: το κουμπί «Ενημέρωση» του WordPress δεν τους προστατεύει. Η διόρθωση γίνεται ένα επίπεδο πιο κάτω, εκεί όπου ο μέσος ιδιοκτήτης site σπάνια κοιτάζει.

Τι συνέβη με τα κενά PHP, με απλά λόγια

Η PHP είναι μια γλώσσα προγραμματισμού που τρέχει στους servers και «χτίζει» τις σελίδες που βλέπεις. Πάνω της στηρίζονται πλατφόρμες όπως το WordPress, το Joomla, το Drupal και το λογισμικό της Wikipedia. Η εταιρεία ασφαλείας Wiz, μία από τις ομάδες που εντόπισαν τα προβλήματα, γράφει ότι η PHP βρίσκεται πίσω από το 70% των sites παγκοσμίως.

Τα δύο κενά που διορθώθηκαν έχουν βαθμό σοβαρότητας 9,2 στα 10. Σύμφωνα με τη Wiz, ένας επιτιθέμενος που τα εκμεταλλεύεται μπορεί, χωρίς να έχει λογαριασμό:

• να πάρει τον έλεγχο του server και να αλλοιώσει τα sites που φιλοξενεί
• να κλέψει ευαίσθητα δεδομένα
• να «κρυφοκοιτάξει» δεδομένα που περνούν από τον server εκείνη τη στιγμή, ακόμη και συνθηματικά άλλων επισκεπτών ή του ίδιου του συστήματος

Και δεν πρόκειται για κάποια ξεχασμένη, παλιά έκδοση. Κατά τη Wiz, ευάλωτες είναι πρακτικά όλες οι εκδόσεις από την 5.4 μέχρι σήμερα, αν δεν έχουν πάρει τη διόρθωση.

Βρέθηκαν με τη βοήθεια AI

Το πιο εντυπωσιακό κομμάτι είναι το πώς βρέθηκαν. Ο προβληματικός κώδικας υπήρχε στο PHP πάνω από δέκα χρόνια, και η Wiz λέει ότι τα μοντέλα τεχνητής νοημοσύνης που χρησιμοποίησε ήταν αυτά που έκαναν τα κενά πραγματική απειλή. Κατά την εταιρεία, ένας ερευνητής με AI ολοκλήρωσε σε μία εβδομάδα δουλειά που παλιότερα θα χρειαζόταν μήνες από μια ομάδα κορυφαίων ειδικών. Η ίδια προειδοποιεί ότι αυτό αλλάζει τα δεδομένα και για τους επιτιθέμενους.

Πώς εξελίχθηκε ο συναγερμός

Τα γεγονότα έτρεξαν γρήγορα. Η ομάδα του PHP προειδοποίησε στις 20 Οκτωβρίου ότι έρχεται έκτακτη ενημέρωση και την κυκλοφόρησε την επόμενη μέρα. Σύμφωνα με την εταιρεία ασφαλείας Sansec, οι επιτιθέμενοι δεν περίμεναν καν την επίσημη ανακοίνωση: η Cloudflare είδε τις πρώτες απόπειρες το πρωί της 21ης Οκτωβρίου, όταν οι διορθώσεις δεν ήταν ακόμη διαθέσιμες. Την ίδια μέρα, όπως αναφέρει η Sansec, sites όπως το Tweakers, η ολλανδική Βουλή και το εθνικό κέντρο κυβερνοασφάλειας της Ολλανδίας βγήκαν προσωρινά εκτός σύνδεσης.

Η καλή είδηση: Ο κίνδυνος μαζικών επιθέσεων μοιάζει μικρότερος

Στις 22 Οκτωβρίου η Sansec ενημέρωσε την ανάλυσή της με πιο ψύχραιμα συμπεράσματα. Γράφει ότι μια επίθεση χρειάζεται συγκεκριμένη γνώση για τον server-στόχο και ειδικές συνθήκες σε αυτόν. Αναφέρει επίσης ότι, σύμφωνα με ερευνητή που τα δοκίμασε, τα δημόσια διαθέσιμα exploits δεν δουλεύουν σε μια κανονική, προεπιλεγμένη εγκατάσταση PHP, και τα περισσότερα χρειάζονται ήδη ένα δεύτερο, σοβαρό κενό στο ίδιο το site.

Γι’ αυτό η Sansec θεωρεί πλέον λιγότερο πιθανό ένα κύμα μαζικών επιθέσεων σαν εκείνα που ακολούθησαν παλαιότερα διάσημα κενά, και λέει στους ιδιοκτήτες e-shop ότι δεν χρειάζεται να κατεβάσουν το κατάστημά τους. Η φράση που ακολουθεί όμως είναι αυτή που μετράει: ενημερώστε το PHP έτσι κι αλλιώς.

Γιατί το WordPress update δεν σε σώζει

Εδώ είναι το σημείο που μπερδεύει τους περισσότερους. Ένα site σε WordPress μοιάζει με αυτοκίνητο. Το WordPress, τα plugins και το theme είναι το αμάξωμα και το εσωτερικό. Το PHP είναι ο κινητήρας. Τα updates που βλέπεις στο διαχειριστικό σου αλλάζουν μόνο το πρώτο κομμάτι.

Η ανακοίνωση του WordPress.org το λέει χωρίς περιστροφές: τα κενά δεν αφορούν ειδικά το WordPress αλλά κάθε server που τρέχει εφαρμογές PHP, και καμία ενημέρωση του WordPress δεν χρειάζεται ούτε σχεδιάζεται γι’ αυτά. Το ίδιο ισχύει, σύμφωνα με τη Sansec, και για τα e-shop σε WooCommerce, Magento και Shopware, που επηρεάζονται ακόμη κι αν ο δικός τους κώδικας είναι καθαρός.

Τη διόρθωση την κάνει όποιος διαχειρίζεται τον server. Για τους περισσότερους, αυτός είναι ο πάροχος hosting. Το WordPress.org σημειώνει ότι ο πάροχος μπορεί να έχει ήδη αναβαθμίσει το PHP ή να έχει βάλει προστατευτικά φίλτρα, αλλά ζητά από κάθε ιδιοκτήτη site να το ελέγξει και όχι να το θεωρήσει δεδομένο.

Τι άλλαξε στις 23 Οκτωβρίου

Σήμερα η ομάδα του PHP πρόσθεσε μια ακόμη, μικρότερη ανακοίνωση. Στο νέο ενημερωτικό σημείωμα αναφέρει ένα τρίτο κενό, το CVE-2026-115560, που εμφανίζεται μόνο με έναν ασυνήθιστο συνδυασμό ρυθμίσεων και κώδικα. Η ίδια η ομάδα το χαρακτηρίζει απίθανο στην πράξη, γι’ αυτό δεν βγάζει έκτακτη έκδοση αλλά θα το χειριστεί στον κανονικό κύκλο εκδόσεων.

Μέχρι τότε προτείνει να μείνει κλειστή μια λειτουργία του PHP που παρακολουθεί την πρόοδο όταν ανεβάζεις αρχεία σε ένα site. Δύο πράγματα αξίζει να ξέρεις:

• η ίδια ρύθμιση ήταν ήδη στα προσωρινά μέτρα της 21ης Οκτωβρίου, οπότε όποιος την είχε εφαρμόσει δεν χρειάζεται να κάνει κάτι άλλο
• το PHP ζητά να μπει στις ρυθμίσεις του ίδιου του server, κάτι που από την εμπειρία μου στα περισσότερα φθηνά πακέτα hosting κάνει μόνο ο πάροχος

Αν απλώς επισκέπτεσαι sites, κινδυνεύεις;

Ως απλός χρήστης δεν έχεις κάτι να ενημερώσεις. Τα κενά βρίσκονται στους servers των sites, όχι στο κινητό ή στον υπολογιστή σου.

Αυτό δεν σημαίνει ότι δεν σε αφορά. Αν ένα κατάστημα όπου έχεις λογαριασμό μείνει χωρίς ενημέρωση και δεχθεί επίθεση, τα δεδομένα που κρατά για σένα είναι αυτά που μπαίνουν σε κίνδυνο. Η δική μου συμβουλή για τις επόμενες εβδομάδες είναι να έχεις διαφορετικό κωδικό σε κάθε site, να ενεργοποιήσεις έλεγχο δύο βημάτων όπου υπάρχει και να μην αγνοήσεις κανένα email που ενημερώνει για διαρροή. Όπως γράψαμε και για την επίθεση στη Revolut, μια διαρροή δεδομένων σπάνια μένει χωρίς συνέχεια.

Έχεις site ή e-shop; Ένα email αρκεί για σήμερα

Η πιο χρήσιμη κίνηση δεν απαιτεί καμία τεχνική γνώση. Γράψε στον πάροχο που φιλοξενεί το site σου και ζήτα γραπτή απάντηση σε δύο ερωτήματα: αν ο server έχει περάσει σε μία από τις διορθωμένες εκδόσεις της PHP (8.5.12, 8.4.27, 8.3.36 ή 8.2.35, ή αντίστοιχο διορθωμένο πακέτο) και αν έχει εφαρμοστεί η σύσταση της 23ης Οκτωβρίου.

Αν θέλεις να ξέρεις τι να περιμένεις από την απάντηση, ο αριθμός έκδοσης φαίνεται και μέσα από το WordPress, στη σελίδα Υγεία ιστότοπου, στις πληροφορίες για τον server. Εκεί θα καταλάβεις και αν έχεις μείνει πολύ πίσω. Ό,τι είναι κάτω από 8.2 δεν παίρνει πια ενημερώσεις από την ομάδα του PHP, και ακόμη και η 8.2 τις χάνει στις 31 Δεκεμβρίου 2026. Σε αυτή την περίπτωση, το email σου δεν είναι ερώτηση αλλά αίτημα για αναβάθμιση.

Η γνώμη μου: Ήρθε η ώρα να γνωρίσεις τον πάροχο hosting σου

Ως εδώ τα γεγονότα. Από εδώ και κάτω γράφω τη δική μου εκτίμηση.

Το πιο ενδιαφέρον σε αυτή την ιστορία δεν είναι τα τεχνικά. Είναι ότι ένα σοβαρό πρόβλημα ασφαλείας δεν λύνεται με ένα κλικ από τον ιδιοκτήτη του site. Τα αυτόματα updates σε κινητά, υπολογιστές και WordPress έχουν γίνει συνήθεια, και σωστά. Εδώ το σημαντικό update δεν εμφανίζεται πουθενά στο dashboard, και αυτό το κάνει εύκολο να ξεχαστεί.

Η ενημέρωση της Sansec είναι πραγματικά καλή είδηση και δεν θέλω να τη μικρύνω. Δεν θα την έβλεπα όμως ως λόγο να το αφήσεις για αργότερα. «Λιγότερο πιθανό» δεν σημαίνει «αδύνατο», και πιστεύω ότι όσο περνούν οι μέρες, κάποιος θα προσπαθήσει να κάνει τις επιθέσεις πιο εύκολες. Δεν είναι η πρώτη φορά φέτος που λογισμικό σε servers χρειάζεται άμεση παρέμβαση, το είδαμε και με το κενό του Zimbra και με τις επιθέσεις στο Plex.

Αν ο πάροχός σου απαντήσει μέσα στη μέρα με συγκεκριμένη έκδοση, κράτα τον. Αν σου πει ένα αόριστο «όλα είναι υπό έλεγχο», αυτή είναι μάλλον η πιο χρήσιμη πληροφορία που θα πάρεις για το hosting σου φέτος.

Συχνές ερωτήσεις

Τι είναι τα κενά PHP που απασχολούν τα sites;

Δύο κρίσιμες ευπάθειες στο ίδιο το PHP, τα CVE-2026-109618 και CVE-2026-109619, που διορθώθηκαν στις 21 Οκτωβρίου 2026. Μπορούν να επιτρέψουν σε επιτιθέμενο να τρέξει κώδικα σε έναν server χωρίς να έχει λογαριασμό.

Αρκεί να ενημερώσω το WordPress;

Όχι. Το WordPress.org λέει ότι καμία ενημέρωση του WordPress δεν απαιτείται ούτε σχεδιάζεται. Πρέπει να ενημερωθεί το PHP στον server, συνήθως από τον πάροχο hosting.

Πρέπει να κατεβάσω το e-shop μου μέχρι να γίνει η ενημέρωση;

Η Sansec, που ειδικεύεται στα ηλεκτρονικά καταστήματα, λέει από τις 22 Οκτωβρίου ότι δεν χρειάζεται, αλλά επιμένει ότι το PHP πρέπει να ενημερωθεί.

Κινδυνεύω ως απλός επισκέπτης sites;

Δεν έχεις κάτι να ενημερώσεις στις συσκευές σου. Ο κίνδυνος αφορά τα δεδομένα που κρατούν για σένα sites που δεν ενημερώθηκαν, γι’ αυτό αξίζουν μοναδικοί κωδικοί και έλεγχος δύο βημάτων.