21 Οκτωβρίου 2026 | PHP | Ασφάλεια IT
Στις 21 Οκτωβρίου 2026 η ομάδα ασφαλείας της PHP δημοσίευσε ενημερώσεις για όλες τις εκδόσεις PHP που εξακολουθούν να υποστηρίζονται. Κλείνουν δύο κρίσιμες ευπάθειες, που έγιναν γνωστές ως PHP2Shell. Η BSI εξέδωσε σχετική προειδοποίηση και ζητά τα επηρεαζόμενα συστήματα να ενημερωθούν χωρίς καθυστέρηση. Όποιος λειτουργεί web server με PHP, πρέπει να δράσει ακόμη και σήμερα. Αυτό ισχύει και για όλους όσοι λειτουργούν «μόνο» ένα WordPress, Nextcloud ή Joomla, διότι αυτές οι εφαρμογές τρέχουν σε PHP.
Αυτό το άρθρο συνοψίζει τι συνέβη, ποιες εκδόσεις PHP επηρεάζονται, ποια έκδοση χρειάζεστε τώρα και πώς θα ελέγξετε σε λίγα λεπτά αν ο server σας είναι θωρακισμένος.
Περιεχόμενα αυτού του άρθρου
- Τι συνέβη; Η χρονική σειρά
- Οι δύο ευπάθειες PHP με μια ματιά
- Ποιος επηρεάζεται;
- Αυτές οι εκδόσεις PHP είναι ασφαλείς
- Έτσι θα ελέγξετε και θα ενημερώσετε τον server σας
- PHP 8.1 και παλαιότερες: καμία επίσημη ενημέρωση
- Προσωρινά μέτρα και το ερώτημα «να βγει ο server εκτός σύνδεσης;»
- Συχνές ερωτήσεις
- Υποστήριξη από την Biricon IT Services
Τι συνέβη; Η χρονική σειρά
Η ομάδα ασφαλείας της PHP ανακοίνωσε εκ των προτέρων τη δημοσίευση των διορθώσεων, ώστε οι πάροχοι φιλοξενίας και οι διαχειριστές να έχουν χρόνο να προετοιμαστούν. Η ίδια η δημοσίευση έγινε στις 21 Οκτωβρίου 2026. Η BSI εξέδωσε την προειδοποίησή της (έκδοση 1.1) την ίδια ημέρα.
- 20 Οκτωβρίου 2026: Προειδοποίηση της ομάδας ασφαλείας της PHP ότι την επομένη θα εκδοθούν ενημερώσεις ασφαλείας.
- 21 Οκτωβρίου 2026, 14:00 UTC (16:00 ώρα Κεντρικής Ευρώπης, θερινή): Δημοσιεύονται τα patches για PHP 8.5, 8.4, 8.3 και 8.2.
- 21 Οκτωβρίου 2026: Η BSI προειδοποιεί για τις «κρίσιμες ευπάθειες που απειλούν διαδικτυακές εφαρμογές παγκοσμίως» και συνιστά άμεσο patch. Σύμφωνα με τη BSI, μεγάλοι πάροχοι φιλοξενίας έβγαλαν εν μέρει προληπτικά servers εκτός σύνδεσης.
Οι δύο ευπάθειες PHP με μια ματιά
Πρόκειται για δύο ξεχωριστά σφάλματα στον πυρήνα της PHP: CVE-2026-109618 και CVE-2026-109619. Και τα δύο μπορούν, σύμφωνα με την ομάδα ασφαλείας της PHP, να οδηγήσουν σε εκτέλεση κώδικα προγράμματος στον server από έναν επιτιθέμενο χωρίς σύνδεση (unauthenticated Remote Code Execution). Οι ευπάθειες βαθμολογούνται με CVSS v4.0: 9,2 (κρίσιμη).
| Χαρακτηριστικό | Σημασία |
|---|---|
| Αναγνωριστικά | CVE-2026-109618 και CVE-2026-109619 |
| Βαθμολογία | CVSS v4.0: 9,2 — κρίσιμη |
| Επίπτωση | Εκτέλεση κώδικα στον server (Remote Code Execution), χωρίς σύνδεση |
| Αιτία 1 | Κατεστραμμένη μνήμη όταν η PHP δεν λαμβάνει πλέον μνήμη κατά την επεξεργασία (Out-of-Memory) |
| Αιτία 2 | Παρωχημένη καθολική κατάσταση που παραμένει στη μνήμη ανάμεσα σε αιτήματα |
| Ιδιαίτερα εκτεθειμένο | Apache με mod_php |
Κατά την εκτίμηση της BSI, κατά τη στιγμή της δημοσίευσης δεν υπήρχαν επιβεβαιωμένες επιθέσεις, υπήρχαν όμως μη επιβεβαιωμένες ενδείξεις απόπειρων εκμετάλλευσης. Σε κρίσιμες ευπάθειες σε τόσο διαδεδομένο λογισμικό, η εμπειρία δείχνει ότι πρέπει να αναμένεται πως οι επιτιθέμενοι θα αναλύσουν τις διορθώσεις και θα προετοιμάσουν αυτοματοποιημένες επιθέσεις. Το χρονικό περιθώριο για patch είναι γι' αυτό σύντομο.
Ποιος επηρεάζεται;
Επηρεάζεται καταρχήν κάθε server στον οποίο τρέχει PHP, ανεξάρτητα από τον τρόπο σύνδεσης της PHP: PHP-FPM, mod_php στο Apache, php-cgi, FrankenPHP ή LiteSpeed. Ο κίνδυνος είναι υψηλότερος, σύμφωνα με την ομάδα ασφαλείας της PHP, στο Apache με mod_php.
Η BSI αναφέρει ρητά εφαρμογές που βασίζονται στην PHP και γι' αυτό μπορεί να επηρεάζονται επίσης:
- Συστήματα διαχείρισης περιεχομένου: WordPress, Drupal, TYPO3, Joomla
- Συστήματα καταστημάτων: Magento
- Cloud και αποθήκευση αρχείων: Nextcloud
- Διεπαφές firewall: pfSense, OPNsense
Η ίδια η εφαρμογή δεν χρειάζεται να είναι ελαττωματική. Η ευπάθεια βρίσκεται στην PHP, γι' αυτό μια ενημέρωση του WordPress, του Nextcloud & Co. από μόνη της δεν βοηθά. Πρέπει να ενημερωθεί η έκδοση PHP στον server. Σε firewalls όπως τα pfSense και OPNsense η διορθωμένη έκδοση PHP έρχεται μέσω της αντίστοιχης ενημέρωσης firmware του κατασκευαστή.
Αυτές οι εκδόσεις PHP είναι ασφαλείς
Οι ευπάθειες έχουν διορθωθεί στις ακόλουθες εκδόσεις. Ό,τι βρίσκεται χαμηλότερα θεωρείται ευάλωτο.
| Κλάδος PHP | Ελάχιστη απαιτούμενη | Σημείωση |
|---|---|---|
| PHP 8.5 | 8.5.12 | τρέχων κλάδος |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Η υποστήριξη λήγει στις 31 Δεκεμβρίου 2026 |
| PHP 8.1 και παλαιότερες | καμία επίσημη ενημέρωση, βλ. κάτω | |
Έτσι θα ελέγξετε και θα ενημερώσετε τον server σας
1. Εξακρίβωση της εγκατεστημένης έκδοσης PHP
Στη γραμμή εντολών του server το php -v εμφανίζει την έκδοση της PHP γραμμής εντολών. Ο web server μπορεί να χρησιμοποιεί διαφορετική έκδοση PHP. Ελέγξτε γι' αυτό και την έκδοση του PHP-FPM ή της μονάδας Apache, για παράδειγμα με php-fpm8.3 -v ή μέσω μιας σελίδας που εμφανίζει το phpinfo() (αυτή να αφαιρεθεί αμέσως μετά).
2. Εγκατάσταση της ενημέρωσης μέσω διαχείρισης πακέτων
Σε Debian, Ubuntu, RHEL και συγγενείς, η διορθωμένη έκδοση έρχεται μέσω της συνήθους διαχείρισης πακέτων, για παράδειγμα apt update && apt upgrade ή dnf upgrade. Σε εξωτερικές πηγές όπως το Sury-PPA ή το Remi-Repository, τα νέα πακέτα εμφανίζονται συνήθως σύντομα.
apt changelog php8.3-fpm ή rpm -q --changelog php | grep CVE-2026-1096).
3. Επανεκκίνηση της υπηρεσίας PHP
Η ενημέρωση πακέτου από μόνη της δεν αρκεί: οι διεργασίες PHP που τρέχουν διατηρούν τον παλιό κώδικα στη μνήμη. Επανεκκινήστε το PHP-FPM (systemctl restart php8.3-fpm) ή το Apache (systemctl restart apache2) και ελέγξτε στη συνέχεια αν οι διεργασίες ξεκίνησαν μετά την ενημέρωση.
4. Φιλοξενούμενες ιστοσελίδες
Στο shared hosting την ενημέρωση κάνει κατά κανόνα ο πάροχος. Στο μενού του πελάτη μπορεί συνήθως να ρυθμιστεί η έκδοση PHP ανά ιστοσελίδα. Επιλέξτε εκεί μία από τις ασφαλείς εκδόσεις που αναφέρονται παραπάνω ή ρωτήστε τον πάροχο για την κατάσταση των patches. Σύμφωνα με τη BSI, μεμονωμένοι πάροχοι έβγαλαν προληπτικά servers από το δίκτυο. Αν η σελίδα σας δεν είναι για λίγο προσβάσιμη, αυτό μπορεί να είναι η αιτία.
PHP 8.1 και παλαιότερες: καμία επίσημη ενημέρωση
Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις ασφαλείας. Οι διαχειριστές τέτοιων συστημάτων έχουν δύο δυνατότητες:
- Μετάβαση σε υποστηριζόμενη έκδοση (συνιστάται). Όσο παλαιότερη είναι η έκδοση, τόσο μεγαλύτερη είναι η προσπάθεια προσαρμογής για εφαρμογή και επεκτάσεις, γι' αυτό η μετάβαση πρέπει να δοκιμαστεί εκ των προτέρων.
- Backport των διορθώσεων. Η ομάδα ασφαλείας της PHP διέθεσε τις διορθώσεις σε κλάδους ανάπτυξης στο GitHub. Όποιος μεταγλωττίζει μόνος του την PHP, μπορεί να μεταφέρει αυτές τις αλλαγές σε παλαιότερες εκδόσεις. Αυτή είναι μια προσωρινή λύση και απαιτεί εξειδικευμένες γνώσεις.
Και η PHP 8.2 υποστηρίζεται μόνο μέχρι τις 31 Δεκεμβρίου 2026. Προγραμματίστε γι' αυτό τώρα τη μετάβαση σε PHP 8.4 ή 8.5 και μην την αναβάλετε για την αλλαγή του έτους.
Προσωρινά μέτρα και το ερώτημα «να βγει ο server εκτός σύνδεσης;»
Η ομάδα ασφαλείας της PHP περιέγραψε με την ανακοίνωση και προσωρινά μέτρα προστασίας. Αυτά μειώνουν τον κίνδυνο, δεν κλείνουν όμως πλήρως τις ευπάθειες. Δεν αντικαθιστούν την ενημέρωση και προορίζονται μόνο για να γεφυρώσουν τον χρόνο μέχρι την ενημέρωση.
Το αν ένας server πρέπει να βγει από το δίκτυο μέχρι την ενημέρωση εξαρτάται από τη σημασία του και την προσβασιμότητά του. Η BSI αναφέρει ότι μεγάλοι πάροχοι έκαναν αυτό το βήμα. Ως εμπειρικός κανόνας ισχύει:
- Δημόσια προσβάσιμος server, ενημέρωση δυνατή τώρα: άμεσο patch, δεν χρειάζεται απενεργοποίηση.
- Δημόσια προσβάσιμος server, ενημέρωση όχι δυνατή βραχυπρόθεσμα: περιορισμός πρόσβασης (για παράδειγμα μέσω firewall μόνο για γνωστές διευθύνσεις) ή προσωρινή απενεργοποίηση της υπηρεσίας, ιδίως στο
mod_php. - Server προσβάσιμος μόνο εσωτερικά: patch σύντομα, η επείγουσα ανάγκη είναι μικρότερη.
Συχνές ερωτήσεις
Πρέπει να ενημερώσω το WordPress, το Joomla ή το Nextcloud;
Όχι εξαιτίας αυτής της ευπάθειας. Βρίσκεται στην PHP και όχι στην εφαρμογή. Ενημερώστε την έκδοση PHP στον διακομιστή. Η ενημέρωση της εφαρμογής παραμένει ωστόσο σκόπιμη, ανεξάρτητα από αυτό.
Πώς θα καταλάβω αν κάποιος έχει ήδη εκμεταλλευτεί την ευπάθεια;
Μια ασφαλής διαπίστωση είναι δύσκολη. Ύποπτα στοιχεία είναι άγνωστα αρχεία PHP στον κατάλογο του ιστότοπου, ασυνήθιστες διεργασίες υπό τον χρήστη του διακομιστή web, νέοι λογαριασμοί χρηστών ή εργασίες cron και ασυνήθιστη εξερχόμενη κίνηση δεδομένων. Σε περίπτωση συγκεκριμένης υποψίας, το σύστημα θα πρέπει να ελεγχθεί εγκληματολογικά και, σε περίπτωση αμφιβολίας, να στηθεί εκ νέου.
Αρκεί ένα Web Application Firewall;
Ένα firewall μπορεί να αναχαιτίσει γνωστά μοτίβα επίθεσης, αλλά δεν υποκαθιστά την ενημέρωση. Περισσότερα για τη συνεργασία πολλών επιπέδων προστασίας θα διαβάσετε στο άρθρο μας Θωράκιση του Odoo 19: Firewall, 2FA & Web RBL. Οι βασικές αρχές ισχύουν για κάθε διαδικτυακή εφαρμογή.
Επηρεάζεται το Odoo;
Όχι. Το Odoo είναι γραμμένο σε Python και δεν εκτελείται σε PHP. Θα επηρεάζονταν μόνο εφαρμογές PHP που τρέχουν στον ίδιο διακομιστή.
Πού θα βρω τις επίσημες πληροφορίες;
Την ανακοίνωση της ομάδας ασφαλείας της PHP θα τη βρείτε στα αρχεία ειδήσεων στο php.net (καταχώριση της 20ής Οκτωβρίου 2026), τις εκδόσεις στη διεύθυνση php.net/downloads. Η προειδοποίηση της BSI φέρει τον αριθμό 2026-297981-1032 και είναι διαθέσιμη στο bsi.bund.de .
Υποστήριξη από την Biricon IT Services
Αν δεν είστε βέβαιοι ποια έκδοση PHP εκτελείται στον διακομιστή σας ή χρειάζεστε βοήθεια με τις ενημερώσεις κώδικα, θα χαρούμε να σας υποστηρίξουμε: στην καταγραφή όλων των συστημάτων PHP, στην εγκατάσταση των ενημερώσεων, στη μετάβαση σε υποστηριζόμενη έκδοση PHP και στον έλεγχο για παραβίαση. Ως πάροχος υπηρεσιών IT αναλαμβάνουμε διακομιστές, firewall και διαδικτυακές εφαρμογές για μικρές και μεσαίες επιχειρήσεις.
Κατάσταση: 21 Οκτωβρίου 2026. Η κατάσταση μπορεί να αλλάξει σύντομα· καθοριστικές είναι οι ανακοινώσεις της ομάδας ασφαλείας της PHP και της BSI.