Εν ολίγοις: Μετά το PHP2Shell είναι πιθανές και άλλες ανακοινώσεις για την PHP, επειδή ήδη δύο ημέρες μετά το patch ήρθε μια τρίτη υπόδειξη, μια πλήρης ανακοίνωση εκκρεμεί ακόμη και οι διανομές παραδίδουν τα πακέτα τους κλιμακωτά. Όποιος στήνει τώρα μια σταθερή διαδικασία για παρακολούθηση, αξιολόγηση, ενημέρωση και επανεκκίνηση, αντιδρά στην επόμενη νέα ευπάθεια ασφαλείας της PHP σε ώρες αντί για μέρες.
Το patch δεν ήταν το τέλος της ιστορίας
Στις 21 Οκτωβρίου 2026 το έργο PHP έκλεισε τις δύο κρίσιμες ευπάθειες CVE-2026-109618 και CVE-2026-109619 με τις εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Πολλοί υπεύθυνοι έβαλαν μετά ένα τικ. Δύο ημέρες αργότερα, στις 23 Οκτωβρίου, ακολούθησε όμως μια ακόμη υπόδειξη του php.net για την CVE-2026-115560.
Αυτή η τρίτη υπόδειξη αφορά μόνο μια ασυνήθιστη διαμόρφωση συνεδριών. Δείχνει όμως ένα μοτίβο γνωστό από μεγάλες περιπτώσεις ασφαλείας: όταν ένα στοιχείο βρίσκεται ξαφνικά στο επίκεντρο, πολλοί ειδικοί κοιτούν ταυτόχρονα με μεγαλύτερη προσοχή. Το αν από αυτό θα προκύψουν και άλλες ευπάθειες, σήμερα δεν το γνωρίζει κανείς. Πιθανό είναι όμως ότι η ροή των ειδήσεων δεν θα σταματήσει.
Για εσάς ως διαχειριστή αυτό σημαίνει: υπολογίστε τις επόμενες ανακοινώσεις αντί να εκπλήσσεστε από κάθε μία. Τη μέχρι τώρα εξέλιξη των γεγονότων συνοψίζει η χρονολογία του PHP2Shell.
Γιατί είναι πιθανές και άλλες ανακοινώσεις
Η παρακάτω εκτίμηση βασίζεται σε δημόσια γνωστά γεγονότα. Δεν είναι πρόβλεψη συγκεκριμένων ευπαθειών.
- Μια ανακοίνωση εκκρεμεί ακόμη. Το php.net χειρίζεται την CVE-2026-115560 στον τακτικό κύκλο εκδόσεων και ανακοίνωσε ότι θα δημοσιεύσει την πλήρη ανακοίνωση με την επόμενη έκδοση. Μέχρι τότε ως αντιμετώπιση ισχύει το
session.upload_progress.enabled=0. - Οι λεπτομέρειες ήταν νωρίς δημόσιες. Σύμφωνα με πολλές αναφορές, λεπτομέρειες έγιναν γνωστές πριν λήξει το embargo. Σύμφωνα με αναφορές, η watchTowr αναπαρήγαγε την CVE-2026-109618, κατά δική της δήλωση. Τέτοιες εργασίες οδηγούν συχνά σε επόμενα ερωτήματα για γειτονικά σημεία του κώδικα.
- Οι διανομές παραδίδουν κλιμακωτά. Το Ubuntu εξυπηρέτησε στις 21 Οκτωβρίου με το USN-8948-1 τις τρέχουσες εκδόσεις και παρέδωσε μεταγενέστερα με το USN-8948-2 διορθώσεις για τις 14.04 έως 20.04 μέσω Ubuntu Pro. Η Red Hat έγραψε στο δελτίο της ότι ορισμένες ενημερώσεις είναι διαθέσιμες και άλλες βρίσκονται σε εξέλιξη.
- Η έκδοση ανάπτυξης επηρεάζεται. Σύμφωνα με το php.net, και η PHP 8.6.0 RC4 περιέχει τις διορθώσεις. Όποιος δοκιμάζει προδημοσιεύσεις, πρέπει να ενημερώσει και αυτά τα περιβάλλοντα.
- Οι παλιές εκδόσεις παραμένουν ανοιχτές. Για την PHP 8.1 και παλαιότερες υπάρχουν μόνο ελάχιστα backports πηγαίου κώδικα. Κάθε πάροχος που παραδίδει τέτοιες εκδόσεις ανακοινώνει αυτόνομα την κατάστασή του και σε δικές του χρονικές στιγμές.
Πώς σας φτάνει μια νέα ευπάθεια ασφαλείας της PHP
Οι ανακοινώσεις έρχονται από διαφορετικούς δρόμους και με διαφορετική αξιοπιστία. Η σειρά είναι σχεδόν πάντα η ίδια: πρώτα το έργο PHP, μετά οι διανομές και οι πάροχοι φιλοξενίας, ύστερα οι αρχές και τα μέσα ενημέρωσης.
| Πηγή | Τι μαθαίνετε εκεί | Πόσο αξιόπιστη |
|---|---|---|
| php.net | Επηρεαζόμενοι κλάδοι, διορθωμένες εκδόσεις, προσωρινά μέτρα | Πρωτογενής πηγή |
| Ubuntu, Debian, Red Hat | Επίπεδα πακέτων ανά έκδοση, χρονική στιγμή παράδοσης | Πρωτογενής πηγή για το σύστημά σας |
| Πάροχοι φιλοξενίας και πάροχοι panel | Κατάσταση των δικών τους builds PHP | Δεσμευτική μόνο γραπτώς |
| BSI, CERT-Bund | Αξιολόγηση κατάστασης, επίπεδο προειδοποίησης, συστάσεις | Κρατική αξιολόγηση |
| Εξειδικευμένος Τύπος και εταιρείες ασφαλείας | Παρατηρήσεις επιθέσεων, αριθμοί, υπόβαθρο | Χρήσιμο, να χαρακτηρίζεται ως αναφορά |
Σημαντική είναι η διαφορά ανάμεσα στο «υπάρχει patch» και στο «το σύστημά μου έχει το patch». Η πρώτη δήλωση βρίσκεται στο php.net. Τη δεύτερη πρέπει να την τεκμηριώσετε οι ίδιοι για κάθε διακομιστή.
Εγγραφείτε στις ανακοινώσεις του php.net και της διανομής σας μέσω RSS ή λίστας email και προωθήστε τις σε ένα κοινό γραμματοκιβώτιο ή κανάλι που διαβάζει περισσότερο από ένα άτομο. Οι διακοπές και η ασθένεια είναι οι συχνότεροι λόγοι καθυστερημένων ενημερώσεων.
Τι να προετοιμάσετε πριν από την επόμενη ανακοίνωση
Η εμπειρία από το PHP2Shell δείχνει πού χάνεται χρόνος: στην αναζήτηση διακομιστών, στη διευκρίνιση αρμοδιοτήτων και στην ξεχασμένη επανεκκίνηση. Όλα αυτά μπορούν να γίνουν εκ των προτέρων.
- Απογραφή: Μια λίστα όλων των διακομιστών και ιστοτόπων με κλάδο PHP, τρόπο λειτουργίας (PHP-FPM, mod_php, LiteSpeed) και πηγή πακέτων. Χωρίς αυτή τη λίστα κάθε ανακοίνωση ξεκινά με αναζήτηση. Πώς επιτυγχάνεται, περιγράφει το άρθρο Απογραφή όλων των ιστότοπων και διακομιστών.
- Αρμοδιότητα: Για κάθε σύστημα είναι καθορισμένο ποιος κάνει patch, ποιος επανεκκινεί και ποιος εγκρίνει. Σε παρόχους φιλοξενίας και πρακτορεία αυτό ανήκει στη σύμβαση.
- Πλέγμα αξιολόγησης: Τρεις ερωτήσεις αρκούν για την πρώτη κατάταξη. Επηρεάζεται ο κλάδος μας; Χρησιμοποιούμε την επηρεαζόμενη λειτουργία ή τρόπο λειτουργίας; Υπάρχει patch ή μόνο προσωρινά μέτρα;
- Δρόμος δοκιμής: Ένα περιβάλλον staging όπου μια ενημέρωση PHP μπορεί να ελεγχθεί σε σύντομο χρόνο.
- Απόδειξη: Μια σταθερή μορφή στην οποία καταγράφονται το επίπεδο πακέτου, οι αντιστοιχίσεις στο changelog και ο χρόνος επανεκκίνησης.
Πώς λειτουργεί μια τέτοια διαδικασία ως ρουτίνα αντί για επιχείρηση πυρόσβεσης, αναφέρεται στο Διαχείριση patch ως διαδικασία. Υπόβαθρο για τον χειρισμό ευπαθειών από το έργο PHP προσφέρει η σελίδα Πώς χειρίζεται το έργο PHP τις ευπάθειες ασφαλείας.
Η δική σας διαμόρφωση ως σύστημα έγκαιρης προειδοποίησης
Ένα μέρος των επόμενων ανακοινώσεων αφορά μόνο συγκεκριμένες ρυθμίσεις. Η CVE-2026-115560 είναι παράδειγμα: το php.net αναφέρει ως προϋπόθεση ότι μια εφαρμογή αλλάζει τον serializer συνεδριών κατά την εκτέλεση ενώ το upload progress είναι ενεργό. Εφαρμογές που δεν το κάνουν ποτέ, δεν επηρεάζονται σύμφωνα με το php.net.
Όποιος γνωρίζει την ισχύουσα διαμόρφωσή του, μπορεί να αξιολογήσει γρηγορότερα τέτοιες ανακοινώσεις. Καταγράψτε γι' αυτό για κάθε κλάδο ποιες τιμές ορίζονται στον διακομιστή και ποιες εφαρμογές επιτρέπεται να τις αντικαθιστούν. Μια απλή σύγκριση των ενεργών ρυθμίσεων βοηθά ήδη:
# Ισχύουσες τιμές της γραμμής εντολών (η διαμόρφωση ιστού μπορεί να διαφέρει)
php -i | grep -E "session.upload_progress.enabled|session.serialize_handler|memory_limit|post_max_size"
# Ορισμένες τιμές στα pools FPM (η διαδρομή διαφέρει ανά διανομή)
grep -RhE "php_(admin_)?value" /etc/php/*/fpm/pool.d/ 2>/dev/null
Η γραμμή εντολών δεν δείχνει απαραίτητα τι ισχύει στο περιβάλλον ιστού. Σαφήνεια φέρνουν η διαμόρφωση του pool ή του VirtualHost και, για λίγο και προστατευμένα, μια σελίδα phpinfo.
Ένα ακόμη πλεονέκτημα: όποιος γνωρίζει ποιες προσωρινές τιμές έχουν μείνει ορισμένες από την εβδομάδα του PHP2Shell, μπορεί να τις ελέγξει συνειδητά μετά την επόμενη τακτική έκδοση. Ορισμένες ρυθμίσεις, όπως το απενεργοποιημένο upload progress, μπορούν να παραμείνουν μόνιμα λογικές. Άλλες, όπως πολύ στενά όρια μεταφόρτωσης, πρέπει να τις προσαρμόσετε ξανά στην πραγματική ανάγκη, έπειτα από συνεννόηση με τα επιχειρησιακά τμήματα.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Παρακολουθούμε τις ανακοινώσεις του php.net, των διανομών και της BSI και αξιολογούμε νέες υποδείξεις για τα συγκεκριμένα συστήματά σας.
- Δημιουργούμε μαζί σας την απογραφή όλων των εγκαταστάσεων PHP και ορίζουμε αρμοδιότητες ανά διακομιστή.
- Στο πλαίσιο μιας σύμβασης συντήρησης ασφαλείας εγκαθιστούμε ενημερώσεις, επανεκκινούμε όλες τις διεργασίες και τεκμηριώνουμε την κατάσταση.
- Σε ανακοινώσεις χωρίς patch ορίζουμε προσωρινά μέτρα που δεν μπορούν να αντικατασταθούν και τα ελέγχουμε στη συνέχεια.
Συχνές ερωτήσεις
Υπάρχει ήδη νέα ευπάθεια ασφαλείας της PHP μετά το PHP2Shell;
Στις 23 Οκτωβρίου 2026 το php.net δημοσίευσε μια υπόδειξη για την CVE-2026-115560. Σύμφωνα με αυτήν, η εκτέλεση κώδικα είναι δυνατή μόνο με ασυνήθιστη διαμόρφωση συνεδριών (session). Πλήρης ανακοίνωση (advisory) αναμένεται με την επόμενη τακτική έκδοση.
Πρέπει να ενεργώ αμέσως μετά από κάθε νέα ανακοίνωση;
Δεν απαιτεί κάθε ανακοίνωση την ίδια βιασύνη. Καθοριστικά είναι ο βαθμός σοβαρότητας, το αν επηρεάζεται η δική σας διαμόρφωση και το αν υπάρχει διαθέσιμο patch. Μια καθορισμένη διαδικασία βοηθά να το αξιολογήσετε σε λεπτά αντί για μέρες.
Πού μαθαίνω πρώτα για νέες ευπάθειες της PHP;
Πρωτογενείς πηγές είναι οι ανακοινώσεις στο php.net και οι υποδείξεις ασφαλείας της διανομής σας, για παράδειγμα τα Ubuntu Security Notices, το Debian Security Tracker ή η Red Hat. Η BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφορικής της Γερμανίας) ενημερώνει για προειδοποιήσεις. Τα δημοσιεύματα είναι χρήσιμα, αλλά συχνά πιο αργά και λιγότερο ακριβή.
Γιατί οι διανομές ανακοινώνουν μερικές φορές ημέρες αργότερα από το php.net;
Οι διανομές πρέπει να ενσωματώσουν τη διόρθωση στα δικά τους πακέτα, να τα χτίσουν και να τα δοκιμάσουν. Για παλαιότερες εκδόσεις αυτό μπορεί να διαρκέσει περισσότερο ή να γίνει μόνο μέσω πρόσθετων προσφορών. Γι' αυτό αξίζει να παρακολουθείτε και τις δύο πηγές χωριστά.