Το PHP διορθώνει δύο κρίσιμα κενά RCE που εντοπίστηκαν με μοντέλα τεχνητής νοημοσύνης αιχμής

Το έργο PHP κυκλοφόρησε τις εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35 στις 21 Οκτωβρίου 2026. Πρόκειται για εκδόσεις ασφαλείας που διορθώνουν δύο κρίσιμες ευπάθειες, οι οποίες μπορούν να επιτρέψουν απομακρυσμένη εκτέλεση κώδικα χωρίς έλεγχο ταυτότητας και εντοπίστηκαν με μοντέλα τεχνητής νοημοσύνης αιχμής. Η συντονισμένη γνωστοποίηση των ευπαθειών περιλάμβανε το έργο PHP, την OpenAI, την εταιρεία ερευνών ασφάλειας Calif και την εταιρεία ασφάλειας cloud Wiz.

Οι εκδόσεις με τις διορθώσεις

Η ενημέρωση ασφαλείας του έργου PHP αναφέρει ότι οι τέσσερις εκδόσεις διορθώνουν τις CVE-2026-109618, η οποία περιγράφεται ως απομακρυσμένη εκτέλεση κώδικα μέσω αλλοίωσης μνήμης λόγω εξάντλησής της, και CVE-2026-109619, η οποία περιγράφεται ως απομακρυσμένη εκτέλεση κώδικα μέσω παρωχημένης καθολικής κατάστασης. Σε προειδοποίηση που εξέδωσε εκ των προτέρων στις 20 Οκτωβρίου 2026, η ομάδα ασφάλειας PHP βαθμολόγησε και τις δύο ευπάθειες με 9,2 στο CVSS v4.0 και όρισε την κυκλοφορία των διορθώσεων για τις 14:00 UTC στις 21 Οκτωβρίου.

Κινδυνεύουν όλες οι εγκαταστάσεις PHP που εξυπηρετούν αιτήματα ιστού, αναφέρει η ενημέρωση, συμπεριλαμβανομένων των PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Ο κίνδυνος θεωρείται υψηλότερος για το mod_php, όπου έχει αποδειχθεί ότι μια επίθεση μπορεί να ενεργοποιηθεί με αίτημα χωρίς έλεγχο ταυτότητας, προτού εκτελεστεί οποιοσδήποτε κώδικας της εφαρμογής.

Το έργο αναφέρει ότι δεν υπάρχουν πλήρη μέτρα μετριασμού και ότι η ενημέρωση είναι η μόνη ασφαλής επιλογή, αν και παραθέτει προσωρινές ρυθμίσεις που μειώνουν την έκθεση σε συγκεκριμένες οδούς επίθεσης. Οι διανομές Linux και οι προμηθευτές εκδόσεων μακροχρόνιας υποστήριξης (LTS) έλαβαν τις διορθώσεις εκ των προτέρων. Η ομάδα ασφάλειας PHP παρείχε επίσης ελάχιστες προσαρμογές των διορθώσεων στον πηγαίο κώδικα για τις PHP 7.4, 8.0 και 8.1, οι οποίες δεν λαμβάνουν πλέον ενημερώσεις, και σημείωσε ότι η PHP 8.2 φτάνει στο τέλος του κύκλου ζωής της στις 31 Δεκεμβρίου 2026.

Οι ευπάθειες και το exploit Php2shell

Η τεχνική αποκάλυψη της Wiz Research περιγράφει την CVE-2026-109618 ως ευπάθεια που αφορά χρήση αντικειμένου μετά την αποδέσμευσή του (use-after-free) στον αποσειριοποιητή της λειτουργίας παρακολούθησης προόδου μεταφόρτωσης, καθώς και αποκάλυψη μνήμης απομακρυσμένης διεργασίας. Η CVE-2026-109619 αφορά χρήση αντικειμένου μετά την αποδέσμευσή του σε ανίχνευση στοίβας κλήσεων μετά από μοιραίο σφάλμα, καθώς και σύγχυση τύπων στο OPcache. Όλες είναι ευπάθειες ασφάλειας μνήμης που οφείλονται στον τρόπο με τον οποίο η PHP χειρίζεται μοιραία σφάλματα, ιδίως σφάλματα εξάντλησης μνήμης, κατά την επεξεργασία αιτημάτων.

Η Wiz ανέφερε ότι επηρεάζεται από τουλάχιστον μία από τις ευπάθειες κάθε έκδοση PHP που κυκλοφόρησε την τελευταία δεκαετία, από την έκδοση 5.4 και μετά. Η Calif ανέφερε ότι η παλαιότερη οδός επίθεσης που εντόπισε ανάγεται στην PHP 5.4.0 και ότι οι οδοί εκμετάλλευσης, οι οποίες εξαρτώνται από την έκδοση PHP και το SAPI, είναι πάντοτε εκμεταλλεύσιμες με τις προεπιλεγμένες ρυθμίσεις.

Η Wiz συνδύασε τις ευπάθειες σε ένα ενιαίο σενάριο εκμετάλλευσης με την ονομασία php2shell και απέδειξε ότι είναι δυνατή η απομακρυσμένη εκτέλεση κώδικα χωρίς έλεγχο ταυτότητας στις πιο πρόσφατες εικόνες κοντέινερ των WordPress, Drupal και Joomla. Ξεχωριστά, απέδειξε ότι είναι δυνατή η αποκάλυψη μνήμης εργαζομένων PHP ανεξάρτητα από την εφαρμογή· η μνήμη αυτή μπορεί να περιέχει κωδικούς πρόσβασης, διακριτικά ελέγχου ταυτότητας, κλειδιά API και πιστοποιητικά. Η αναφορά της Calif καταγράφει επιβεβαιωμένη απομακρυσμένη εκτέλεση κώδικα πριν από τον έλεγχο ταυτότητας στα WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 και WHMCS, καθώς και σε αυθαίρετα σενάρια PHP σε ορισμένες περιπτώσεις.

Η Wiz περιγράφει την PHP ως τεχνολογία που χρησιμοποιείται στο 70% όλων των ιστότοπων, μεταξύ άλλων στα WordPress, Joomla, Drupal και MediaWiki της Wikipedia, και κατατάσσει τα ευρήματα στις σοβαρότερες ευπάθειες που έχουν εντοπιστεί στην PHP.

Πώς τα μοντέλα τεχνητής νοημοσύνης αιχμής εντόπισαν τα κενά

Η OpenAI δήλωσε ότι τους τελευταίους δύο μήνες συντόνισε έναν συνασπισμό συντηρητών, ερευνητών και παρόχων υπηρεσιών ασφάλειας για την αντιμετώπιση των ευπαθειών. Στο πλαίσιο της πρωτοβουλίας Patch the Planet της OpenAI, η Calif εντόπισε ένα κρίσιμο κενό χρησιμοποιώντας το μοντέλο της GPT-5.6 Sol, ενώ η Wiz εντόπισε ανεξάρτητα και τις δύο ευπάθειες και τις ανέφερε. Οι συντηρητές της PHP ηγήθηκαν των διορθώσεων και της κυκλοφορίας των νέων εκδόσεων.

Τα χρονολόγια των συμμετεχόντων δείχνουν ότι οι ανεξάρτητες ανακαλύψεις συνέπεσαν χρονικά. Το PHP Foundation καταγράφει ότι η Calif ξεκίνησε τον έλεγχό της στις 30 Ιουλίου 2026 και ότι ο ερευνητής της Calif, Ryan A, ανέφερε απομακρυσμένη εκτέλεση κώδικα χωρίς όρους στις 11 Αυγούστου 2026, ενώ την ίδια ημέρα η OpenAI ανέφερε ανεξάρτητα την ίδια βασική αιτία. Σύμφωνα με την καταγραφή της Calif, η ανακάλυψή της έγινε την 1η Αυγούστου 2026, η απόδειξη της ιδέας (PoC) για RCE κοινοποιήθηκε στην PHP στις 14 Αυγούστου 2026, η PHP επιβεβαίωσε την ευπάθεια στις 15 Αυγούστου 2026 και ένα δεύτερο σφάλμα αναφέρθηκε στις 21 Αυγούστου 2026.

Η Wiz αναφέρει ότι εντόπισε την πρώτη ευπάθεια στις 19 Αυγούστου 2026 χρησιμοποιώντας τα Wiz Atlas, Gemini 4 Argon και GPT-5.6 Sol, επιβεβαίωσε την εκτέλεση κώδικα χωρίς έλεγχο ταυτότητας στο Drupal στις 20 Αυγούστου 2026 και στο WordPress στις 21 Αυγούστου, και ανέφερε τις ευπάθειες στην ομάδα ασφάλειας PHP στις 24 Αυγούστου 2026. Σύμφωνα με το PHP Foundation, η OpenAI πρόσθεσε περαιτέρω οδούς επίθεσης στις 18 Σεπτεμβρίου 2026, ενώ, σύμφωνα με τη Wiz, η PHP αναγνώρισε τις αναφορές και άρχισε να αναπτύσσει συντονισμένη διόρθωση στις 21 Σεπτεμβρίου 2026.

Η υποκείμενη αδυναμία έχει μακρά ιστορία. Η Calif αναφέρει ότι ο Stefan Esser εντόπισε το πρώτο απομακρυσμένο κενό στην PHP που σχετιζόταν με το όριο μνήμης το 2004, ότι το 2020 αναφέρθηκε στο έργο ένα σφάλμα που περιέγραφε συνθήκη εξάντλησης μνήμης και ότι ένας έλεγχος του 2024 από τις OSTIF και Quarkslab εντόπισε ξανά το ζήτημα, χωρίς όμως να αποδείξει ότι μπορούσε να γίνει εκμετάλλευσή του. Το PHP Foundation έγραψε ότι ο έλεγχος του 2024 χρηματοδοτήθηκε από τη Sovereign Tech Agency και ότι οι εργασίες για τη διόρθωση καθυστερούσαν και ξεκινούσαν ξανά επανειλημμένα επί μήνες: «Δεν θα προσποιηθούμε ότι ισχύει κάτι διαφορετικό: η καθυστέρηση ήταν συστημική αποτυχία.»

Η OpenAI δήλωσε ότι, δεδομένης της σοβαρότητας των ευπαθειών και της ευρείας χρήσης της PHP, θεωρεί πως πρόκειται για ένα από τα σημαντικότερα ζητήματα ασφάλειας των τελευταίων ετών. Είπε επίσης ότι, απ’ όσο γνωρίζει, τα μοντέλα τεχνητής νοημοσύνης αιχμής εντόπισαν τις ευπάθειες πριν από τους επιτιθέμενους, ανοίγοντας αυτό που αποκαλεί «παράθυρο των αμυνόμενων». Η εταιρεία δεσμεύτηκε να διαθέσει επιδοτούμενη πρόσβαση στο Daybreak αξίας 1 δισ. δολαρίων για αμυνόμενους στην πρώτη γραμμή και δημοσίευσε έναν έλεγχο έκδοσης PHP ως δεξιότητα του Codex στο αποθετήριο GitHub openai/php2shell-checker.

Μια διαρροή πληροφοριών και η παραβίαση του εμπάργκο

Το PHP Foundation αναφέρει ότι η συντονισμένη δημοσιοποίηση είχε προγραμματιστεί για δύο ημέρες πριν από την προγραμματισμένη ημερομηνία κυκλοφορίας. Περίπου στις 15:00 UTC στις 20 Οκτωβρίου 2026, τα δύο αναγνωριστικά CVE άρχισαν να κυκλοφορούν σε διαδικτυακά φόρουμ και μέσα κοινωνικής δικτύωσης, συνοδευόμενα από λανθασμένη ώρα κυκλοφορίας και λανθασμένη βαθμολογία CVSS 10.0, χωρίς ωστόσο να διαρρεύσουν τεχνικές λεπτομέρειες. Το έργο PHP μετέφερε την προανακοίνωση στις 19:30 UTC της ίδιας ημέρας και άλλαξε την ημερομηνία κυκλοφορίας από τις 22 Οκτωβρίου 2026 στις 21 Οκτωβρίου 2026, στις 14:00 UTC, λέγοντας ότι οι διανομείς εξακολουθούσαν να ετοιμάζουν το πακέτο με τη διόρθωση.

Περίπου στις 20:00 UTC στις 20 Οκτωβρίου, ο Calif δημοσίευσε κατά λάθος ένα βίντεο που έδειχνε την απόδειξη εγκυρότητας της ιδέας του να λειτουργεί σε διάφορους στόχους. Σύμφωνα με το Foundation, αντίγραφα του βίντεο κυκλοφόρησαν και συνέβαλαν στην επιτάχυνση της ανάπτυξης διαφόρων εκμεταλλεύσεων-απόδειξης εγκυρότητας της ιδέας στις 21 Οκτωβρίου. Στις 07:41 UTC στις 21 Οκτωβρίου, περισσότερες από έξι ώρες πριν από τη συντονισμένη κυκλοφορία, η Chainguard παραβίασε μονομερώς το εμπάργκο και δημοσίευσε έτοιμες εικόνες που περιείχαν τη διόρθωση, αναφέρει το Foundation. Η ομάδα ασφάλειας της PHP παρακολούθησε τις αποδείξεις εγκυρότητας της ιδέας που εμφανίστηκαν μετά τη διαρροή, αλλά δεν εντόπισε λειτουργικές εκμεταλλεύσεις κατά την κυκλοφορία και τη δημόσια δημοσιοποίηση.

Συντονισμός με κυβερνητικούς φορείς και προτεινόμενο πλαίσιο

Η OpenAI δήλωσε ότι συνεργάστηκε με εταίρους για να κινητοποιήσει διάφορους τομείς της κυβέρνησης των ΗΠΑ, μεταξύ των οποίων τη Δύναμη Υπερνοημοσύνης του Λευκού Οίκου, το Γραφείο του Εθνικού Διευθυντή Κυβερνοασφάλειας και τον Οργανισμό Κυβερνοασφάλειας και Ασφάλειας Υποδομών, καθώς και διεθνείς εταίρους, ώστε οι οδηγίες ασφάλειας να φτάσουν σε οργανισμούς ζωτικής σημασίας. Η Wiz δήλωσε ότι, πριν από τη δημόσια δημοσιοποίηση, συνεργάστηκε με τις Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel και άλλους, για να ετοιμάσουν οδηγίες για τους πελάτες, μηχανισμούς εντοπισμού και έτοιμα προς χρήση μέτρα μετριασμού κινδύνου για οργανισμούς που δεν μπορούν να ενημερώσουν τα συστήματά τους αμέσως.

Η OpenAI δημοσίευσε επίσης ένα προτεινόμενο πλαίσιο πέντε σταδίων για την αντιμετώπιση κρίσιμων ευπαθειών σε ευρέως χρησιμοποιούμενο λογισμικό: επικύρωση και διόρθωση της ευπάθειας στο αρχικό έργο, παροχή χρόνου στους οργανισμούς που επηρεάζονται για να ενεργήσουν, συντονισμός με κυβερνητικούς εταίρους, προετοιμασία ενημερώσεων για τα προϊόντα που επηρεάζονται και δημοσίευση οδηγιών μόλις είναι διαθέσιμη μια ενημέρωση κώδικα. Η εταιρεία ζήτησε από την κοινότητα ασφάλειας να υποβάλει σχόλια για την προσέγγιση.

Το PHP Foundation, το οποίο δημιούργησε Ομάδα Ασφάλειας Οικοσυστήματος τον Μάιο του 2026 και προσέλαβε τον Alexandre Daubois τον Ιούλιο του 2026 και τον Daniel Scherzer τον Σεπτέμβριο του 2026, δήλωσε ότι η ομάδα έχει δημοσιεύσει 15 CVE από την 1η Ιουλίου 2026, ενώ εξετάζει περισσότερες από 100 αναφορές που αποδείχθηκαν άκυρες, διπλότυπες ή μη αναπαραγώγιμες. Απηύθυνε έκκληση για χορηγίες από εταιρείες, παρόχους φιλοξενίας, πλατφόρμες νέφους, διανομές και κυβερνήσεις των οποίων οι υπηρεσίες λειτουργούν σε PHP.