Τι συνέβη με τις ευπάθειες PHP της 21ης Οκτωβρίου;
Το πρωί της 21ης Οκτωβρίου 2026 ανακοινώθηκε από το PHP Foundation ότι στις 17:00 ώρα Ελλάδας θα κυκλοφορούσε επείγουσα ενημέρωση ασφαλείας της PHP για δύο ευπάθειες με βαθμολογία CVSS v4.0 9.2 (δηλαδή κρίσιμης σοβαρότητας) καταγεγραμμένες ως CVE-2026-109618 και CVE-2026-109619.
Η PHP είναι η γλώσσα στην οποία τρέχει η πλειοψηφία των CMS, όπως το WordPress, το Joomla και το PrestaShop και συνολικά λειτουργεί σχεδόν στο 70% όλων των ιστότοπων. Έτσι, μια τόσο σοβαρή ευπάθεια θα επηρέαζε άμεσα ένα τεράστιο μέρος όλου του διαδικτύου.
Εμείς όμως, δεν περιμέναμε την κυκλοφορία της διόρθωσης για να δράσουμε. Παρακολουθώντας αδιάκοπα τις εξελίξεις, διαπιστώσαμε πως ήδη μετά την επίσημη ανακοίνωση υπήρξαν απόπειρες εκμετάλλευσης των ευπαθειών και δημόσια PoC (proof-of-concept) στο διαδίκτυο. Γι' αυτόν τον λόγο προχωρήσαμε σε εφαρμογή προσαρμοσμένων κανόνων στα τείχη προστασίας όλων των διακομιστών για όσο το δυνατόν αποδοτικότερο περιορισμό του κινδύνου.
Το χρονολόγιο όλων των παρεμβάσεών μας, δημοσιευόταν σε πραγματικό χρόνο στο αναλυτικό incident του status page (ώρες Ελλάδας):
| Ώρα | Ενέργειες από την ομάδα μας |
|---|---|
| 21/10/2026 13:23 | Ανακοίνωση του περιστατικού. Εφαρμογή προσωρινών μέτρων περιορισμού στους διακομιστές. Προειδοποίηση ότι η μεταφόρτωση αρχείων ενδέχεται να μη λειτουργεί σε ορισμένες σελίδες και ότι, αν κριθεί αναγκαίο, μπορεί να ανασταλεί η λειτουργία διακομιστών μέχρι την πλήρη ενημέρωση. |
| 21/10/2026 16:58 | Ετοιμότητα για άμεση εγκατάσταση των ενημερωμένων εκδόσεων PHP μόλις κυκλοφορήσουν. |
| 21/10/2026 17:00 | Προγραμματισμένη κυκλοφορία της ενημέρωσης ασφαλείας της PHP. |
| 21/10/2026 17:55 | Επιτυχής αναβάθμιση των εκδόσεων PHP του cPanel. |
| 21/10/2026 22:00 | Προγραμματισμένη κυκλοφορία των ενημερωμένων εκδόσεων PHP του CloudLinux. |
| 22/10/2026 05:04 | Ολοκλήρωση των αναβαθμίσεων στους περισσότερους server και παρακολούθηση των αλλαγών |
| 22/10/2026 09:37 | Πλήρης εφαρμογή των ενημερώσεων τόσο στις EOL εκδόσεις (5.6 - 8.1) όσο και στις ενεργές (8.2 - 8.5). Επιβεβαίωση χρήσης των patched εκδόσεων και άρση των μέτρων περιορισμού. |
Οι υπηρεσίες που περιλαμβάνονταν στο περιστατικό ήταν το Web Hosting, το Reseller Hosting και το Free Hosting.
Πληροφορίες σχετικά με τις ευπάθειες CVE-2026-109618 και CVE-2026-109619
Συνοπτικά, οι δύο ευπάθειες επέτρεπαν απομακρυσμένη εκτέλεση κώδικα (RCE). Συγκεκριμένα:
| Ευπάθεια | Περιγραφή |
|---|---|
| CVE-2026-109618 | Ένα αίτημα εξαντλεί το διαθέσιμο όριο μνήμης της PHP την πιο ακατάλληλη στιγμή. Η εκτέλεση διακόπτεται στη μέση, αφήνοντας δεδομένα σε ημιτελή κατάσταση, τα οποία ενδέχεται στη συνέχεια να αντιμετωπιστούν ως ολοκληρωμένα. |
| CVE-2026-109619 | Ένα σφάλμα διακόπτει την εκτέλεση ενός αιτήματος, αλλά η PHP επιχειρεί να προσπελάσει μνήμη που έχει ήδη αποδεσμευτεί. Το πρόβλημα μπορεί να επηρεάσει και το επόμενο αίτημα που θα εξυπηρετήσει η ίδια διεργασία, το οποίο ενδέχεται να αποκτήσει πρόσβαση σε αυτά τα υπολείμματα μνήμης. |
Τα προσωρινά μέτρα προστασίας που προσθέσαμε
Το διάστημα ανάμεσα στη γνωστοποίηση μιας τόσο μεγάλης ευπάθειας και στην εγκατάσταση της διόρθωσης είναι το πιο ευαίσθητο.
Οι διαθέσιμες επιλογές που είχαμε ήταν δύο: είτε κρατάμε τα πάντα ανοιχτά και ελπίζουμε ότι δεν θα παραβιαστούν οι ιστότοποι των συνεργατών μας, είτε μειώνουμε προληπτικά την επιφάνεια επίθεσης, δεχόμενοι μια προσωρινή ενόχληση. Προφανώς, επιλέξαμε το δεύτερο, γιατί ένα παραβιασμένο site κοστίζει πολύ περισσότερο από μερικές ώρες πιθανών λειτουργικών ζητημάτων.
Οι παρεμβάσεις μας πρώτα εφαρμόστηκαν στο session.upload_progress της PHP, το οποίο απενεργοποιήσαμε καθολικά για όλες τις εκδόσεις PHP που χρησιμοποιούνται τόσο στο cPanel όσο και από τις φιλοξενούμενες εφαρμογές. Επιπλέον, τέθηκαν περιορισμοί στις μεταφορτώσεις και τις φόρμες που υλοποιούνται μέσω της PHP και πιο συγκεκριμένα στα αιτήματα που χρησιμοποιείται Content-type: multipart.
