Η Εθνική Αρχή Κυβερνοασφάλειας, μέσω της ομάδας EL-CSIRT, έχει ενημερώσει για δύο κρίσιμες ευπάθειες στην PHP, με αναγνωριστικά CVE-2026-109618 και CVE-2026-109619, με βαθμολογία σοβαρότητας CVSS v4.0 9.2 η καθεμία.
Επισημαίνεται η επιτυχής εκμετάλλευσή τους ενδέχεται να επιτρέψει σε μη αυθεντικοποιημένο απομακρυσμένο επιτιθέμενο την εκτέλεση αυθαίρετου κώδικα (Remote Code Execution – RCE) σε επηρεαζόμενα συστήματα, με σοβαρές επιπτώσεις στην εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα τους και των δεδομένων τους.
Σε κάθε περίπτωση ιδιαίτερη προσοχή απαιτείται σε:
- Διαδικτυακές εφαρμογές και υπηρεσίες που χρησιμοποιούν PHP και είναι προσβάσιμες από το διαδίκτυο
- Συστήματα διαχείρισης περιεχομένου (CMS), όπως WordPress, Joomla και Drupal, καθώς και άλλες εφαρμογές που βασίζονται σε PHP
- Εσωτερικές εφαρμογές και διαχειριστικές διεπαφές που χρησιμοποιούν PHP
- Συσκευές και προϊόντα τρίτων κατασκευαστών που ενσωματώνουν PHP, ακόμη και όταν η χρήση της δεν είναι άμεσα εμφανής στους διαχειριστές
Προσοχή! Η ενημέρωση μιας εφαρμογής ή ενός CMS δεν συνεπάγεται απαραίτητα την αποκατάσταση των συγκεκριμένων ευπαθειών, εφόσον η υποκείμενη εγκατάσταση PHP παραμένει ευάλωτη.
Η Εθνική Αρχή Κυβερνοασφάλειας συνιστά στους οργανισμούς και στους διαχειριστές συστημάτων:
- Άμεσο εντοπισμό και καταγραφή των συστημάτων, εφαρμογών και υπηρεσιών που χρησιμοποιούν PHP, με προτεραιότητα σε όσα είναι προσβάσιμα από το διαδίκτυο
- Άμεση εφαρμογή των διορθώσεων ασφαλείας, σε συντονισμό με τις αρμόδιες τεχνικές ομάδες, σύμφωνα με τις επίσημες οδηγίες της PHP και των αντίστοιχων κατασκευαστών ή διανομέων
- Προσωρινό περιορισμό της πρόσβασης ή απομόνωση των ευάλωτων υπηρεσιών από δημόσια δίκτυα, όταν η άμεση εφαρμογή των διορθώσεων δεν είναι εφικτή, κατόπιν αξιολόγησης του κινδύνου και των επιχειρησιακών επιπτώσεων
- Ενισχυμένη παρακολούθηση και έλεγχο των αρχείων καταγραφής (logs) για ενδείξεις μη εξουσιοδοτημένης εκτέλεσης κώδικα ή εντολών και διερεύνηση τυχόν ύποπτης δραστηριότητας
- Διατήρηση των σχετικών αρχείων καταγραφής και άλλων διαθέσιμων στοιχείων, για την υποστήριξη ενδεχόμενης διερεύνησης περιστατικού
Τα προσωρινά μέτρα περιορισμού του κινδύνου και οι μηχανισμοί ανίχνευσης δεν υποκαθιστούν την εγκατάσταση των διορθώσεων ασφαλείας. Η PHP επισημαίνει ότι οι αλλαγές παραμετροποίησης δεν παρέχουν πλήρη προστασία από τις συγκεκριμένες ευπάθειες.
Η εφαρμογή των ενημερώσεων ασφαλείας δεν αποκλείει το ενδεχόμενο προηγούμενης παραβίασης και πρέπει να συνοδεύεται από εξέταση τυχόν ενδείξεων κακόβουλης δραστηριότητας.
Αναφορά περιστατικών
Εφόσον από τη διερεύνηση επιβεβαιωθεί περιστατικό κυβερνοασφάλειας, οι επηρεαζόμενοι φορείς καλούνται να ακολουθήσουν τις προβλεπόμενες διαδικασίες αναφοράς προς την Εθνική Αρχή Κυβερνοασφάλειας:
Αναφορά περιστατικών κυβερνοασφάλειας
Επίσημη ανακοίνωση και ενημερώσεις ασφαλείας της PHP
