Η ευπάθεια της PHP φάνηκε από το 2024

Τα πρώτα σημάδια μιας από τις δύο κρίσιμες ευπάθειες της PHP, του λογισμικού που τρέχει στους διακομιστές αμέτρητων ιστοτόπων, είχαν φανεί από το 2024, παραδέχεται ο οργανισμός που τη συντηρεί (PHP Foundation). Οι διορθώσεις κυκλοφόρησαν μόλις στις 21 Οκτωβρίου, για ευπάθειες που υπό συγκεκριμένες συνθήκες επιτρέπουν σε έναν άγνωστο να εκτελέσει κώδικα στον διακομιστή χωρίς καν να συνδεθεί (PHP). Έφτασαν μαζί με συναγερμό: η ENISA ζήτησε άμεση ενημέρωση και η Ολλανδία έκλεισε προληπτικά το DigiD και το MijnOverheid (ENISA, ολλανδική κυβέρνηση).

Για να καταλάβει κανείς γιατί σήμανε συναγερμός σε κυβερνήσεις, πρέπει να δει πού κάθεται η PHP. Όταν ανοίγετε μια σελίδα, το αίτημά σας δεν πηγαίνει κατευθείαν στον κώδικα του ιστότοπου. Πρώτα το παραλαμβάνει η PHP στον διακομιστή, το επεξεργάζεται και μόνο μετά το παραδίδει στην εφαρμογή. Μοιάζει με τη γραμματεία ενός γραφείου που συμπληρώνει καρτέλα για κάθε επισκέπτη πριν τον δει ο υπάλληλος: αν η γραμματεία κάνει λάθος, ο πιο προσεκτικός υπάλληλος δεν μπορεί να το διορθώσει.

Εδώ η γραμματεία έκανε δύο λάθη. Στο πρώτο, όταν η μνήμη εξαντλείται στη μέση της δουλειάς, η καρτέλα μένει μισοσυμπληρωμένη και αργότερα περνά για ολοκληρωμένη· στο δεύτερο, η PHP ακολουθεί παραπομπή σε φάκελο που έχει ήδη πεταχτεί (advisory 109618, advisory 109619). Η επίθεση θέλει συγκεκριμένες συνθήκες, όχι μια απλή επίσκεψη. Στον διακομιστή Apache όμως, όταν η PHP είναι ενσωματωμένη μέσα του (η ρύθμιση mod_php), το πρώτο λάθος επιτρέπει εκτέλεση κώδικα πριν καν τρέξει ο κώδικας της εφαρμογής (PHP advisory). Η Wiz το έδειξε στο εργαστήριο σε εγκαταστάσεις WordPress, Drupal και Joomla, χωρίς να φταίει καμία από αυτές (Wiz).

Από τον έλεγχο του 2024 στον συναγερμό

Το 2024 η Quarkslab έκανε εξωτερικό έλεγχο του κώδικα της PHP, με χρηματοδότηση της Sovereign Tech Agency (Quarkslab). Σύμφωνα με τον απολογισμό του PHP Foundation, προγραμματιστής του πυρήνα είδε τότε τα πρώτα σημάδια του προβλήματος μνήμης ενώ διόρθωνε άλλο εύρημα του ελέγχου· η εκμετάλλευση θεωρήθηκε πιθανή, αλλά κανείς δεν είχε βρει συγκεκριμένο δρόμο επίθεσης (PHP Foundation). Η δεύτερη ευπάθεια δεν έχει τέτοιο ιστορικό. Και το χρονολόγιο στηρίζεται στα λεγόμενα του ίδιου του Foundation, αφού η δημόσια σύνοψη του ελέγχου, του Απριλίου 2025, δεν κατονομάζει την ευπάθεια (Quarkslab).

Γιατί λοιπόν δεν διορθώθηκε; Κάθε υποψήφια λύση είχε τίμημα. Μπορούσε να σπάσει τη συμβατότητα με παλιό λογισμικό, να δημιουργήσει νέο κίνδυνο κατάρρευσης υπηρεσιών ή να απαιτήσει συντονισμένες αλλαγές σε πολλές επεκτάσεις τρίτων. Ήταν σαν να αλλάζεις τα θεμέλια μιας πολυκατοικίας με τους ενοίκους μέσα. Οι αποφάσεις απαιτούσαν συναίνεση, οι λίγοι που ήξεραν σε βάθος τη μηχανή της PHP είχαν κι άλλες δουλειές, και η εργασία σταματούσε και ξανάρχιζε επί μήνες. Το Foundation το αποκαλεί «δομική αποτυχία» και απαντά με νέα ομάδα ασφάλειας, προσλήψεις και αποφάσεις με πλειοψηφία (PHP Foundation).

Το ξεκλείδωμα ήρθε απ' έξω. Στις 11 Αυγούστου 2026 η Calif ανέφερε απομακρυσμένη εκτέλεση κώδικα με την ίδια βασική αιτία, που βρήκε ο ερευνητής Ryan A με βοήθεια του GPT-5.6 Sol (Calif). Το αρχείο του Foundation καταγράφει ανεξάρτητη αναφορά της ίδιας αιτίας από την OpenAI, που αποδίδει την εύρεση σε έρευνα με βοήθεια AI, και αργότερα αναφορές της Wiz και για τα δύο κενά (PHP Foundation, OpenAI).

Ο χρόνος που χάθηκε φάνηκε στο τέλος. Τα αναγνωριστικά των ευπαθειών διέρρευσαν πρόωρα στις 20 Οκτωβρίου και η PHP επίσπευσε τις διορθώσεις κατά μία μέρα (PHP). Η Amazon κατέγραψε απόπειρα εκμετάλλευσης στους αισθητήρες-δολώματά της στις 17 Οκτωβρίου, τέσσερις μέρες πριν από τη δημοσιοποίηση, χωρίς να ξέρει αν θα πετύχαινε σε πραγματικό σύστημα (AWS). Αυτό που δεν ξέρουμε ως σήμερα είναι αν κάποια επίθεση πέτυχε: καμία εισβολή σε πραγματικό οργανισμό δεν έχει επιβεβαιωθεί δημόσια.

Ποιες εκδόσεις χρειάζονται ενημέρωση

Οι ασφαλείς εκδόσεις είναι οι 8.2.35, 8.3.36, 8.4.27 και 8.5.12. Η 8.1 και οι παλαιότερες δεν παίρνουν τακτικές διορθώσεις, αν και υπάρχουν ειδικές διορθώσεις κώδικα για 7.4, 8.0 και 8.1 (PHP, CERT-EU). Ο διαχειριστής πρέπει να ελέγξει την PHP που πράγματι εξυπηρετεί τον ιστότοπο, γιατί αυτή μπορεί να διαφέρει από εκείνη της γραμμής εντολών, και μετά να επανεκκινήσει τις διεργασίες της. Ο απλός επισκέπτης δεν χρειάζεται να κάνει τίποτα στη συσκευή του· όποιος έχει δικό του ιστότοπο αρκεί να ζητήσει επιβεβαίωση από τον πάροχο φιλοξενίας.

Η ευπάθεια δεν έμεινε ανοιχτή επειδή κανείς δεν την είδε. Έμεινε επειδή όσοι την είδαν ήταν πολύ λίγοι για να την κλείσουν. Σε λογισμικό από το οποίο κρέμονται κρατικές πύλες και εκατομμύρια ιστότοποι, ο πιο αδύναμος κρίκος δεν ήταν ο κώδικας. Ήταν ο αριθμός των ανθρώπων που είχαν χρόνο να τον φτιάξουν.