Τον Οκτώβριο του 2026 ανακοινώθηκαν σημαντικά ζητήματα ασφαλείας που αφορούν την PHP, την τεχνολογία που χρησιμοποιείται για τη λειτουργία μεγάλου αριθμού ιστοσελίδων και διαδικτυακών εφαρμογών.
Οι εξελίξεις περιλαμβάνουν δύο κρίσιμες ευπάθειες, με αναγνωριστικά CVE-2026-109618 και CVE-2026-109619, καθώς και νεότερες ενημερώσεις ασφαλείας και πρόσθετες συστάσεις προστασίας.
Στη Hostnetics αντιμετωπίσαμε τις κρίσιμες ευπάθειες εφαρμόζοντας τις διαθέσιμες διορθώσεις σε όλη την υποδομή μας, συμπεριλαμβανομένων παλαιότερων εκδόσεων PHP που δεν λαμβάνουν πλέον επίσημες ενημερώσεις ασφαλείας. Παράλληλα, εφαρμόσαμε πρόσθετα μέτρα προστασίας σύμφωνα με τις νεότερες οδηγίες ασφαλείας.
Στη συνέχεια εξηγούμε με απλά λόγια τι είναι η PHP, τι συνέβη, πώς αντιμετωπίσαμε τα ζητήματα και τι σημαίνουν αυτές οι εξελίξεις για τις ιστοσελίδες που φιλοξενούμε.
Τι είναι η PHP και γιατί είναι σημαντική για την ιστοσελίδα σας;
Η PHP είναι μια γλώσσα προγραμματισμού που χρησιμοποιείται κυρίως για τη λειτουργία δυναμικών ιστοσελίδων και διαδικτυακών εφαρμογών.
Με απλά λόγια, όταν επισκέπτεστε μια ιστοσελίδα που χρησιμοποιεί PHP, ο server εκτελεί τον απαραίτητο κώδικα για να εμφανίσει το περιεχόμενο, να επεξεργαστεί μια φόρμα, να συνδεθεί με μια βάση δεδομένων ή να ολοκληρώσει μια άλλη λειτουργία.
Η PHP χρησιμοποιείται, μεταξύ άλλων, από το WordPress, το οποίο αποτελεί μία από τις πιο διαδεδομένες πλατφόρμες δημιουργίας ιστοσελίδων, αλλά και από ηλεκτρονικά καταστήματα και πολλές άλλες εφαρμογές.
Για να λειτουργήσει μια τέτοια ιστοσελίδα, δεν αρκεί μόνο να υπάρχουν τα αρχεία της στον server. Χρειάζεται επίσης ένα κατάλληλα ρυθμισμένο περιβάλλον που να μπορεί να εκτελεί την PHP.
Όπως συμβαίνει με κάθε λογισμικό, κατά καιρούς εντοπίζονται αδυναμίες που ενδέχεται να επηρεάσουν την ασφάλειά του. Για τον λόγο αυτό, οι ομάδες ανάπτυξης δημοσιεύουν διορθώσεις και συστάσεις προστασίας.
Τι συνέβη με τις πρόσφατες ευπάθειες PHP;
Στις 21 Οκτωβρίου 2026 δημοσιεύθηκαν δύο κρίσιμες ευπάθειες της PHP, με αναγνωριστικά CVE-2026-109618 και CVE-2026-109619.
Οι ευπάθειες αυτές βαθμολογήθηκαν με 9,2 στα 10 βάσει του προτύπου CVSS 4.0 και, υπό συγκεκριμένες συνθήκες, μπορούσαν να επιτρέψουν σε έναν απομακρυσμένο επιτιθέμενο να εκτελέσει κακόβουλο κώδικα στον server.
Αυτό είναι ιδιαίτερα σημαντικό για τις υπηρεσίες φιλοξενίας ιστοσελίδων, καθώς ένας server μπορεί να εξυπηρετεί πολλές ιστοσελίδες και εφαρμογές.
Στις 23 Οκτωβρίου δημοσιεύθηκε επιπλέον ενημέρωση για την ευπάθεια CVE-2026-115560, η οποία αφορά έναν συγκεκριμένο συνδυασμό ρυθμίσεων της PHP και κώδικα εφαρμογής. Για το συγκεκριμένο ζήτημα προτάθηκε μια πρόσθετη προσωρινή ρύθμιση προστασίας.
Στις 26 Οκτωβρίου δημοσιεύθηκαν επίσης ενημερωμένα Windows builds της PHP σχετικά με την ευπάθεια CVE-2026-111497, η οποία συνδέεται με τη βιβλιοθήκη Brotli. Το συγκεκριμένο ζήτημα αφορά τα σχετικά περιβάλλοντα Windows και αξιολογείται ξεχωριστά από τις προηγούμενες ευπάθειες.
Είναι σημαντικό να διευκρινίσουμε ότι η δημοσίευση μιας ευπάθειας δεν σημαίνει αυτομάτως ότι όλες οι ιστοσελίδες έχουν παραβιαστεί. Σημαίνει ότι πρέπει να αξιολογηθεί ο κίνδυνος και να εφαρμοστούν τα κατάλληλα μέτρα προστασίας.
Ποιες ήταν οι σημαντικότερες ευπάθειες;
CVE-2026-109618 και CVE-2026-109619: Κρίσιμα ζητήματα ασφαλείας
Οι δύο αυτές ευπάθειες σχετίζονται με τον τρόπο που η PHP διαχειρίζεται εσωτερικά δεδομένα και τη μνήμη του συστήματος κατά την εκτέλεση κώδικα.
Υπό κατάλληλες συνθήκες, θα μπορούσαν να επιτρέψουν την απομακρυσμένη εκτέλεση κώδικα, γνωστή ως Remote Code Execution ή RCE.
Με απλά λόγια, πρόκειται για ένα σενάριο στο οποίο ένας επιτιθέμενος θα μπορούσε να εκτελέσει ενέργειες στον server χωρίς την απαιτούμενη εξουσιοδότηση, εφόσον καταφέρει να εκμεταλλευτεί την ευπάθεια.
Για την αντιμετώπιση αυτών των ζητημάτων, διατέθηκαν διορθώσεις ασφαλείας για τις αντίστοιχες εκδόσεις PHP. Η εγκατάστασή τους αποτελεί το βασικό μέτρο προστασίας.
CVE-2026-115560: Πρόσθετη σύσταση ασφαλείας για την PHP
Στις 23 Οκτωβρίου 2026 η ομάδα ανάπτυξης της PHP δημοσίευσε νεότερη ενημέρωση σχετικά με τη λειτουργία Session Upload Progress.
Η λειτουργία αυτή σχετίζεται με την παρακολούθηση της προόδου κατά τη μεταφόρτωση αρχείων. Το συγκεκριμένο ζήτημα προϋποθέτει έναν ασυνήθιστο συνδυασμό ρυθμίσεων και ενεργειών του κώδικα μιας εφαρμογής.
Για τον περιορισμό του κινδύνου, η επίσημη ομάδα της PHP συνέστησε την προσωρινή απενεργοποίηση της ρύθμισης:
session.upload_progress.enabled = 0
Στη Hostnetics έχουμε εφαρμόσει το συγκεκριμένο πρόσθετο μέτρο προστασίας, σύμφωνα με τη σχετική σύσταση.
Η ρύθμιση απενεργοποιεί την παρακολούθηση της προόδου μεταφόρτωσης αρχείων από την PHP. Σε εφαρμογές που χρησιμοποιούν αυτή τη δυνατότητα, ενδέχεται να επηρεαστεί η σχετική λειτουργία, γι' αυτό η διαχείρισή της πρέπει να γίνεται στο πλαίσιο του περιβάλλοντος φιλοξενίας.
CVE-2026-111497: Ενημέρωση για Windows builds και Brotli
Στις 26 Οκτωβρίου 2026 δημοσιεύθηκαν ανανεωμένα Windows builds της PHP που περιλαμβάνουν διορθωμένη έκδοση της βιβλιοθήκης Brotli.
Η βιβλιοθήκη Brotli χρησιμοποιείται για τη συμπίεση και αποσυμπίεση δεδομένων. Η σχετική ευπάθεια αφορά συγκεκριμένα περιβάλλοντα και λειτουργίες της PHP στα Windows.
Δεν πρέπει να θεωρούμε ότι κάθε εγκατάσταση PHP επηρεάζεται με τον ίδιο τρόπο. Η αντιμετώπιση εξαρτάται από το λειτουργικό σύστημα, το πακέτο λογισμικού και τις λειτουργίες που χρησιμοποιούνται.
Γιατί είναι σημαντικές οι ενημερώσεις ακόμη και σε παλαιότερες εκδόσεις PHP;
Δεν λαμβάνουν όλες οι εκδόσεις PHP ενημερώσεις ασφαλείας για το ίδιο χρονικό διάστημα.
Όταν μια έκδοση φτάσει στο τέλος της επίσημης υποστήριξής της, συνήθως δεν λαμβάνει πλέον νέες διορθώσεις ασφαλείας από την επίσημη ομάδα ανάπτυξης. Αυτό δεν σημαίνει ότι κάθε ιστοσελίδα που τη χρησιμοποιεί είναι αυτομάτως ευάλωτη, αλλά ότι η αντιμετώπιση νέων ζητημάτων μπορεί να είναι πιο δύσκολη.
Σε περιβάλλοντα φιλοξενίας, ορισμένες ιστοσελίδες εξακολουθούν να χρειάζονται παλαιότερες εκδόσεις PHP για λόγους συμβατότητας με εφαρμογές ή πρόσθετα που δεν έχουν αναβαθμιστεί.
Για τον λόγο αυτό, στη Hostnetics δεν περιοριστήκαμε μόνο στις νεότερες εκδόσεις PHP. Εφαρμόσαμε τις διαθέσιμες διορθώσεις ασφαλείας σε όλη την υποδομή μας, συμπεριλαμβανομένων παλαιότερων εκδόσεων που δεν λαμβάνουν πλέον επίσημες ενημερώσεις ασφαλείας.
Με αυτόν τον τρόπο, αντιμετωπίσαμε τις συγκεκριμένες ευπάθειες και στα περιβάλλοντα όπου οι πελάτες μας εξακολουθούν να χρειάζονται παλαιότερες εκδόσεις PHP.
Η χρήση παλαιότερης έκδοσης εξακολουθεί να απαιτεί προσοχή. Όπου είναι εφικτό, συνιστούμε τη μετάβαση σε μια νεότερη, υποστηριζόμενη έκδοση, αφού πρώτα ελεγχθεί η συμβατότητα της ιστοσελίδας.
Τι μέτρα προστασίας εφαρμόσαμε στη Hostnetics;
Η ασφάλεια των υπηρεσιών φιλοξενίας αποτελεί σταθερή προτεραιότητά μας. Για την αντιμετώπιση των πρόσφατων εξελίξεων, προχωρήσαμε στις ακόλουθες ενέργειες:
Εφαρμόσαμε τις διαθέσιμες διορθώσεις για τις κρίσιμες ευπάθειες CVE-2026-109618 και CVE-2026-109619 σε όλη την υποδομή μας.
Συμπεριλάβαμε στις ενέργειές μας παλαιότερες εκδόσεις PHP που δεν λαμβάνουν πλέον επίσημες ενημερώσεις ασφαλείας.
Εφαρμόσαμε πρόσθετα μέτρα προστασίας μέσω των διαθέσιμων μηχανισμών ασφαλείας της υποδομής μας.
Ενεργοποιήσαμε το πρόσθετο μέτρο που συνιστά η PHP για την ευπάθεια CVE-2026-115560, απενεργοποιώντας τη ρύθμιση session.upload_progress.enabled.
Συνεχίζουμε να παρακολουθούμε τις επίσημες ανακοινώσεις και τις νεότερες οδηγίες, ώστε να αξιολογούμε κάθε νέο ζήτημα ξεχωριστά.
Οι κανόνες προστασίας του firewall και οι πρόσθετες ρυθμίσεις ασφαλείας αποτελούν συμπληρωματικά μέτρα. Δεν αντικαθιστούν τις διορθώσεις λογισμικού, όπου αυτές είναι διαθέσιμες.
Για περισσότερες πληροφορίες σχετικά με τις δύο αρχικές κρίσιμες ευπάθειες, μπορείτε να διαβάσετε την προηγούμενη ανακοίνωσή μας:
Ενημέρωση ασφαλείας PHP: Κρίσιμες ευπάθειες CVE-2026-109618 και CVE-2026-109619
Μπορείτε επίσης να ανατρέξετε στις επίσημες ανακοινώσεις της PHP:
Αρχείο επίσημων ανακοινώσεων PHP
Συχνές ερωτήσεις για τις ευπάθειες PHP
Τι είναι μια ευπάθεια ασφαλείας;
Μια ευπάθεια είναι ένα σφάλμα ή μια αδυναμία σε λογισμικό που ενδέχεται να επιτρέψει σε κάποιον να εκτελέσει μη επιτρεπόμενες ενέργειες ή να παρακάμψει μηχανισμούς προστασίας. Η σοβαρότητά της εξαρτάται από τον τρόπο εκμετάλλευσης και τις συνθήκες που απαιτούνται.
Χρειάζεται να κάνω κάτι στην ιστοσελίδα μου;
Για τις συγκεκριμένες διορθώσεις και τα μέτρα που εφαρμόσαμε στην υποδομή μας, δεν απαιτείται να αλλάξετε μόνοι σας ρυθμίσεις της PHP. Εάν έχετε απορίες σχετικά με τη λειτουργία της ιστοσελίδας σας ή τη συμβατότητα της εφαρμογής σας, μπορείτε να επικοινωνήσετε με την ομάδα υποστήριξής μας.
Επηρεάζονται όλες οι ιστοσελίδες WordPress;
Όχι απαραίτητα. Το WordPress χρησιμοποιεί PHP, αλλά κάθε ευπάθεια έχει τις δικές της προϋποθέσεις. Ειδικά για το CVE-2026-115560, απαιτείται ένας συγκεκριμένος συνδυασμός ρυθμίσεων και συμπεριφοράς του κώδικα. Η ύπαρξη μιας ανακοίνωσης ασφαλείας δεν σημαίνει ότι όλες οι ιστοσελίδες έχουν παραβιαστεί.
Είναι ασφαλής μια παλαιότερη έκδοση PHP;
Μια παλαιότερη έκδοση που δεν λαμβάνει πλέον επίσημες ενημερώσεις χρειάζεται ιδιαίτερη προσοχή, επειδή ενδέχεται να μην καλύπτεται από μελλοντικές διορθώσεις. Στη Hostnetics εφαρμόσαμε τις διαθέσιμες διορθώσεις για τις συγκεκριμένες ευπάθειες ακόμη και σε παλαιότερες εκδόσεις PHP. Ωστόσο, όπου είναι εφικτό, συνιστούμε τη μετάβαση σε νεότερη, υποστηριζόμενη έκδοση.
Γιατί μπορεί να μην έχει αλλάξει ο αριθμός έκδοσης PHP;
Σε ορισμένα περιβάλλοντα, οι διορθώσεις ασφαλείας ενσωματώνονται στα πακέτα λογισμικού χωρίς να αλλάζει ο αριθμός έκδοσης που εμφανίζει η ιστοσελίδα. Επομένως, ο αριθμός έκδοσης από μόνος του δεν αρκεί πάντα για να διαπιστωθεί αν έχει εφαρμοστεί μια διόρθωση. Αυτό εξαρτάται από τον προμηθευτή και το συγκεκριμένο πακέτο.
Τι σημαίνει η απενεργοποίηση του Session Upload Progress;
Σημαίνει ότι απενεργοποιείται η δυνατότητα της PHP να παρακολουθεί την πρόοδο μεταφόρτωσης αρχείων μέσω της συγκεκριμένης λειτουργίας. Πρόκειται για πρόσθετο μέτρο προστασίας που συνιστάται για το CVE-2026-115560. Σε εφαρμογές που βασίζονται σε αυτή τη λειτουργία, ενδέχεται να επηρεαστεί η εμφάνιση της προόδου μεταφόρτωσης.
Πού μπορώ να βρω περισσότερες πληροφορίες;
Οι επίσημες ανακοινώσεις και οι τεχνικές λεπτομέρειες δημοσιεύονται από την ομάδα ανάπτυξης της PHP:
https://www.php.net/archive/2026.php
Για τις ενέργειες που πραγματοποιήσαμε σχετικά με τις αρχικές κρίσιμες ευπάθειες, μπορείτε να διαβάσετε και την προηγούμενη ανακοίνωση της Hostnetics.
Στη Hostnetics συνεχίζουμε να παρακολουθούμε τις εξελίξεις στον τομέα της ασφάλειας και να εφαρμόζουμε τα κατάλληλα μέτρα προστασίας, με στόχο την ασφαλή και αξιόπιστη λειτουργία των υπηρεσιών φιλοξενίας ιστοσελίδων μας.
