# Πώς το έργο PHP χειρίζεται τις ευπάθειες ασφαλείας

> Πώς το έργο PHP χειρίζεται τις ευπάθειες ασφαλείας: αναφορά μέσω GitHub ή security@php.net, κατάταξη, διόρθωση στην έκδοση και τι συμπεραίνουν οι διαχειριστές.

Πηγή: https://phpsos.de/el/php/php-sicherheitsprozess/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν συντομία:** Οι ευπάθειες ασφαλείας στην PHP αναφέρονται εμπιστευτικά, κατά προτίμηση μέσω της ιδιωτικής φόρμας advisory στο αποθετήριο GitHub `php/php-src`, εναλλακτικά στο security@php.net. Οι προγραμματιστές της PHP κατατάσσουν το εύρημα ως υψηλό, μέτριο ή χαμηλό· τα σοβαρά σφάλματα διορθώνονται σε ξεχωριστό αποθετήριο ασφαλείας και δημοσιεύονται μόνο με την έκδοση, μαζί με ένα GitHub Security Advisory και συνήθως έναν αριθμό CVE. Στο PHP2Shell αυτή η διαδικασία εξελίχθηκε με ταχύτητα εκτάκτου ανάγκης: προανακοίνωση στις 20.10.2026, patches στις 21.10.2026, συμπληρωματική υπόδειξη στις 23.10.2026.

## Ποιος φροντίζει για την ασφάλεια στην PHP;

Η PHP είναι έργο ανοιχτού κώδικα. Η πολιτική ασφαλείας στο wiki την περιγράφει ως έργο εθελοντών χωρίς προϋπολογισμό για αμοιβές. Για κάθε έκδοση υπάρχουν release managers που φέρουν την ευθύνη για τις κυκλοφορίες. Επιπλέον υπάρχει το PHP Foundation, το οποίο σύμφωνα με τη δική του παρουσίαση αναθέτει σε μια ομάδα προγραμματιστών μερικής και πλήρους απασχόλησης εργασίες συντήρησης, ασφάλειας και νέων λειτουργιών της PHP.

Για τις επιχειρήσεις αυτό σημαίνει: δεν υπάρχει κατασκευαστής με σύμβαση, τηλεφωνική γραμμή ή εγγυημένους χρόνους αντίδρασης. Όποιος χρειάζεται δεσμευτικές δεσμεύσεις, τις λαμβάνει από τη διανομή Linux, τον πάροχο hosting ή έναν πάροχο μακροχρόνιας υποστήριξης, όχι από το ίδιο το έργο PHP. Αυτή την αλυσίδα εφοδιασμού πρέπει να τη γνωρίζετε.

## Πώς αναφέρεται μια ευπάθεια

Η διαδρομή περιγράφεται στην πολιτική ασφαλείας στο GitHub:

1. **Αναφορά:** μέσω της ιδιωτικής φόρμας για Security Advisories στο αποθετήριο `php/php-src`. Όποιος δεν μπορεί να τη χρησιμοποιήσει ή θέλει να συζητήσει ένα θέμα που δεν αποτελεί αναφορά σφάλματος, γράφει στο security@php.net.
2. **Σύντομη περιγραφή:** Επιθυμητό είναι ένα σύντομο παράδειγμα που δείχνει το σφάλμα, όχι μια μεγάλη έκθεση για πιθανές επιπτώσεις. Έτσι η ομάδα μπορεί να το εξετάσει ταχύτερα.
3. **Εμπιστευτικότητα:** Η αναφορά παραμένει ιδιωτική μέχρι τη δημοσίευση.
4. **Αναφορά ονόματος:** Όσοι αναφέρουν μνημονεύονται ως συνεισφέροντες σύμφωνα με το σύστημα credits της MITRE.

Η παλαιότερη σελίδα wiki αναφέρει επιπλέον τον κλασικό εντοπιστή σφαλμάτων με τον τύπο «Security». Καθοριστική σήμερα είναι η διαδρομή μέσω GitHub.

## Τι κατατάσσει το έργο PHP ως ευπάθεια ασφαλείας

Δεν είναι κάθε κατάρρευση ευπάθεια ασφαλείας. Το wiki αναφέρει τέσσερα κριτήρια: ένα σφάλμα επιτρέπει μη εξουσιοδοτημένες ενέργειες, υπερβαίνει όρια ασφαλείας, ανοίγει πρόσβαση σε ξένα δεδομένα ή επηρεάζει σοβαρά τη διαθεσιμότητα ή την απόδοση. Η κατάταξη γίνεται σε τρία επίπεδα:

| Επίπεδο | Σημασία σύμφωνα με την πολιτική | Αριθμός CVE |
|---|---|---|
| Υψηλό | Τρίτοι μπορούν να θέσουν σε κίνδυνο τις περισσότερες εγκαταστάσεις, να εκτελέσουν κώδικα ή να διαβάσουν αρχεία | κατά κανόνα ναι |
| Μέτριο | παρόμοιο αποτέλεσμα, αλλά μόνο υπό σπανιότερες συνθήκες, για παράδειγμα μια σπάνια επέκταση ή διαμόρφωση | συνήθως ναι |
| Χαμηλό | θεωρητικά δυνατό, πρακτικά πολύ δύσκολο να εκμεταλλευτεί | συνήθως όχι |

Εξίσου διαφωτιστική είναι η λίστα με όσα ρητά δεν αποτελούν ευπάθεια ασφαλείας: κακόβουλος κώδικας που εκτελείται σκόπιμα, παρακάμψεις των `open_basedir` και `disable_functions`, κακόβουλες είσοδοι στην `unserialize()`, η χρήση του FFI και μια συνηθισμένη διακοπή λόγω μνήμης, όπου ισχύει το `memory_limit` και τερματίζεται μόνο το τρέχον αίτημα. Για τους διαχειριστές αυτό σημαίνει: το [disable_functions](https://phpsos.de/el/ratgeber/disable-functions/) είναι λογική θωράκιση, αλλά όχι τείχος προστασίας.

## Από τη διόρθωση στη δημοσίευση

Οι διορθώσεις για υψηλές και μέτριες ευπάθειες εισάγονται σύμφωνα με το wiki σε ξεχωριστό αποθετήριο ασφαλείας πριν δημιουργηθεί η έκδοση. Τα σφάλματα χαμηλής σοβαρότητας ακολουθούν την πορεία των κανονικών διορθώσεων σφαλμάτων. Η ευπάθεια δημοσιεύεται σύμφωνα με την αρχή της υπεύθυνης αποκάλυψης: πρώτα η διόρθωση, μετά οι λεπτομέρειες. Οι εκδόσεις κυκλοφορούν σύμφωνα με το wiki συνήθως τις Πέμπτες, συχνά στο πλαίσιο των τακτικών μηνιαίων κυκλοφοριών.

Με την έκδοση κυκλοφορεί ένα GitHub Security Advisory με δικό του αναγνωριστικό (GHSA) και βαθμό σοβαρότητας. Στο αποθετήριο εμφανίστηκαν, για παράδειγμα, στις 24.09.2026 αρκετά advisories για stream wrappers, FastCGI και φίλτρα, με βαθμούς σοβαρότητας από χαμηλό έως υψηλό. Τα πακέτα πηγαίου κώδικα στο php.net προσφέρονται με αθροίσματα ελέγχου SHA-256 και υπογραφές GPG των release managers· τα tags του Git είναι υπογεγραμμένα. Ποιοι κλάδοι εκδόσεων λαμβάνουν ακόμη διορθώσεις ασφαλείας, δείχνει η σελίδα για τις [εκδόσεις PHP και τον κύκλο εκδόσεων](https://phpsos.de/el/php/release-zyklus/).

## Το PHP2Shell ως παράδειγμα εκτάκτου ανάγκης

Το PHP2Shell δείχνει πώς εξελίσσεται η διαδικασία υπό πίεση:

- **20.10.2026:** το php.net ανακοινώνει μια κρίσιμη έκδοση ασφαλείας για τις 21.10.2026 στις 14:00 UTC και επιφυλάσσεται να δημοσιεύσει νωρίτερα, αν γίνουν δημόσιες λεπτομέρειες ή εμφανιστούν επιθέσεις. Σύμφωνα με αρκετές αναφορές, οι λεπτομέρειες είχαν πράγματι γίνει γνωστές πριν λήξει η προθεσμία εμπιστευτικότητας· το υπόβαθρο φωτίζει η σελίδα [Γιατί η ευπάθεια της PHP έγινε γνωστή πριν από το patch](https://phpsos.de/el/blog/php-luecke-vorzeitig-bekannt/).
- **21.10.2026:** κυκλοφορούν οι PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35, μαζί με τα advisories GHSA-w8hw-w9fx-j79w (CVE-2026-109618) και GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), και τα δύο κατατεγμένα ως κρίσιμα. Σύμφωνα με το php.net, οι διανομές Linux και οι πάροχοι μακροχρόνιας υποστήριξης είχαν λάβει εκ των προτέρων τις διορθώσεις. Για τις 7.4, 8.0 και 8.1 υπάρχουν ελάχιστα backports.
- **23.10.2026:** μια ενημερωτική υπόδειξη για την CVE-2026-115560 συνιστά `session.upload_progress.enabled=0`· το πλήρες advisory ακολουθεί με την επόμενη έκδοση.

## Τι συμπεραίνουν οι διαχειριστές

1. **Εγγραφή σε πηγές:** php.net, τα GitHub advisories του `php/php-src` και τα δελτία ασφαλείας της διανομής σας.
2. **Γνώση της αλυσίδας εφοδιασμού:** Ποιος παρέχει το πακέτο PHP σας και πόσο γρήγορα φτάνουν εκεί τα backports;
3. **Προγραμματισμός παραθύρου:** Οι κρίσιμες εκδόσεις μπορεί να έρθουν εκτός του συνηθισμένου ρυθμού· ένα παράθυρο patch πρέπει να είναι εφικτό σε σύντομο χρόνο.
4. **Πρόβλεψη επανεκκίνησης:** Μια ενημέρωση γίνεται αποτελεσματική μόνο όταν έχουν επανεκκινηθεί όλες οι διεργασίες PHP.
5. **Διασφάλιση αποδεικτικών:** Τεκμηρίωση έκδοσης, επιπέδου πακέτου και χρονικής στιγμής.

## Πώς βοηθά συγκεκριμένα η PHP SOS;

Με την [υπηρεσία patch PHP](https://phpsos.de/el/leistungen/php-patch-service/) αναλαμβάνουμε το τμήμα που βρίσκεται σε εσάς:

- **Παρακολούθηση αναφορών:** Παρακολουθούμε το php.net, τα advisories και τις ανακοινώσεις των διανομών και αξιολογούμε αν επηρεάζονται τα συστήματά σας.
- **Εφαρμογή του patch:** Ενημέρωση από την κατάλληλη πηγή, επανεκκίνηση όλων των διεργασιών, έλεγχος της εκτελούμενης έκδοσης.
- **Ασφάλιση της μετάβασης:** Όπου η ενημέρωση καθυστερεί, εφαρμόζουμε τα επίσημα προσωρινά μέτρα.
- **Τεκμηρίωση:** Λαμβάνετε αποδεικτικό με εκδόσεις, επίπεδα πακέτων και χρονικές στιγμές.


## Συχνές ερωτήσεις

**Πώς αναφέρεται μια ευπάθεια ασφαλείας στην PHP;**  
Κατά προτίμηση μέσω της ιδιωτικής φόρμας αναφοράς για Security Advisories στο αποθετήριο GitHub php/php-src. Όποιος δεν μπορεί να τη χρησιμοποιήσει, γράφει στο security@php.net. Η αναφορά παραμένει εμπιστευτική μέχρι τη δημοσίευση.

**Καταβάλλει το έργο PHP αμοιβή για ευπάθειες που βρίσκονται;**  
Όχι. Σύμφωνα με την πολιτική ασφαλείας, η PHP είναι ένα έργο εθελοντών χωρίς χρήματα για bug bounties. Όσοι αναφέρουν αναφέρονται όμως ως συνεισφέροντες.

**Είναι η παράκαμψη του disable_functions ευπάθεια ασφαλείας;**  
Σύμφωνα με την πολιτική του έργου PHP όχι. Οι παρακάμψεις των open_basedir και disable_functions δεν θεωρούνται πρόβλημα ασφαλείας της PHP. Οι ρυθμίσεις αποτελούν θωράκιση, αλλά όχι αξιόπιστο όριο ασφαλείας.

**Πού ενημερώνομαι για νέες ευπάθειες ασφαλείας της PHP;**  
Στην αρχική σελίδα του php.net με τις ανακοινώσεις εκδόσεων και στα Security Advisories του αποθετηρίου GitHub php/php-src. Όποιος λαμβάνει την PHP από τη διανομή, παρακολουθεί επιπλέον τα δελτία ασφαλείας της.

**Γιατί το PHP2Shell δημοσιεύθηκε Τετάρτη;**  
Οι εκδόσεις κυκλοφορούν σύμφωνα με το wiki συνήθως τις Πέμπτες. Για το PHP2Shell το php.net ανακοίνωσε στις 20.10.2026 μια έκδοση ασφαλείας για την Τετάρτη 21.10.2026, 14:00 UTC και επιφυλάχθηκε να δημοσιεύσει νωρίτερα, αν γίνονταν δημόσιες λεπτομέρειες.

## Πηγές

- [php-src: Πολιτική ασφαλείας και Advisories (GitHub)](https://github.com/php/php-src/security)
- [PHP Wiki: Πολιτική ασφαλείας](https://wiki.php.net/security)
- [php.net: Ανακοινώσεις από 20 έως 23.10.2026](https://www.php.net/)
- [php.net: Υποστηριζόμενες εκδόσεις](https://www.php.net/supported-versions.php)