Ενημερώστε το PHP.Δύο κρίσιμα κενά.
Στις 21 Οκτωβρίου 2026 το PHP έκλεισε δύο κρίσιμα κενά. Κάποιος μπορεί να τρέξει κώδικα σε ευάλωτο web server χωρίς login. Βάλτε 8.5.12, 8.4.27, 8.3.36 ή 8.2.35 σήμερα.
Ενημερώστε. Μετά επιβεβαιώστε.
Το μόνο πλήρες fix είναι έκδοση PHP με το patch. Κάντε τα με αυτή τη σειρά.
- Βάλτε έκδοση με το patch
PHP 8.5.12, 8.4.27, 8.3.36 ή 8.2.35, ή νεότερο build στον ίδιο κλάδο. Ενημέρωση σε WordPress, plugin ή theme δεν το κλείνει.
- Βρείτε κάθε δημόσιο site σε PHP
PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Μετρήστε και site που τρέχει άλλος host, έξω από την EMPIST.
- Αν δεν προλαβαίνετε σήμερα, βγάλτε το offline
Η NSA λέει να βγει το σύστημα offline μέχρι να κλείσει πλήρως. Οι μισές ρυθμίσεις μειώνουν κάποιους τρόπους επίθεσης. Δεν κάνουν τον server ασφαλή.
- Κρατήστε κλειστό το session upload progress
Βάλτε
session.upload_progress.enabled=0μέχρι το επόμενο bugfix. Αν το βάλατε στις 21 Οκτωβρίου, αφήστε το. Το PHP θα δημοσιεύσει το CVE-2026-115560 με εκείνο το release.
Βάλτε μία από αυτές.
Το PHP 8.1 και τα παλιότερα δεν παίρνουν πια releases από το PHP project. Ρωτήστε τον vendor του Linux για backport, ή περάστε σε υποστηριζόμενο κλάδο.
| Κλάδος | Εγκατάσταση | Κατάσταση |
|---|---|---|
| 8.5 | 8.5.12 ή νεότερο | Υποστηρίζεται |
| 8.4 | 8.4.27 ή νεότερο | Υποστηρίζεται |
| 8.3 | 8.3.36 ή νεότερο | Υποστηρίζεται |
| 8.2 | 8.2.35 ή νεότερο | Διορθώσεις ασφαλείας έως 31 Δεκ 2026 |
| 8.1 και παλιότερα | Χωρίς release από το PHP | Backport από vendor, ή αναβάθμιση |
| 8.6 δοκιμαστικά | Το RC4 έχει το fix | Όχι για production |
Οι διανομές Linux πήραν τα patches νωρίτερα, οπότε κοιτάξτε τα πακέτα του vendor. Τα Windows binaries είναι στη σελίδα downloads του PHP. Το PHP έδωσε και μικρά source backports για 7.4, 8.0 και 8.1, για όσους χτίζουν από source.
Πηγές
Το κενό είναι στο PHP.
Δεν είναι bug στο WordPress, στο Laravel ή στις ρυθμίσεις σας. Ο μεγαλύτερος κίνδυνος είναι στο mod_php: το PHP λέει ότι ένα request χωρίς login μπορεί να ξεκινήσει την επίθεση πριν τρέξει ο κώδικας της εφαρμογής. Η NSA τα ονομάζει PHP2Shell.
Εκτεθειμένα
- Κάθε εγκατάσταση PHP που σερβίρει web requests
- Το mod_php έχει τον μεγαλύτερο κίνδυνο
- PHP 8.1 και παλιότερα, εκτός αν ο vendor κάνει backport
- Site στο internet, και όσα δεν τα διαχειρίζεστε εσείς
Δεν το κλείνει
- Μόνο update σε WordPress, plugin ή theme
- Απόκρυψη σφαλμάτων με display_errors ή @
- ini_set() την ώρα του request για το upload progress
- Αναμονή μέχρι ένα security tool να βάλει signature
Τα CVE-2026-109618 και CVE-2026-109619 επιτρέπουν απομακρυσμένη εκτέλεση κώδικα χωρίς login. Το PHP τα βαθμολόγησε CVSS v4.0 9.2. Το ένα αφορά τον τρόπο που το PHP χειρίζεται την εξάντληση μνήμης στο στήσιμο του request. Το άλλο ξαναχρησιμοποιεί κατάσταση request που έχει ήδη ελευθερωθεί, στον ίδιο worker. Κάποιος μπορεί να πάρει δεδομένα, να ρίξει το site, ή να προχωρήσει πιο μέσα στο δίκτυο.
Οι ρυθμίσεις δεν αρκούν.
Το PHP λέει ότι μόνο το update είναι ασφαλής επιλογή. Τα παρακάτω μειώνουν την έκθεση για λίγες ώρες, και μετά βάζετε το patch. Στις 23 Οκτωβρίου το PHP πρόσθεσε συνέχεια για ένα σπάνιο επιπλέον κενό, το CVE-2026-115560.
- Περιορίστε το κομμάτι της μνήμης
Για το CVE-2026-109618, βάλτε
memory_limit=-1εκεί που η εφαρμογή δεν μπορεί να το αλλάξει, όπωςphp_admin_valueστο FPM pool ή στο Apache. Βεβαιωθείτε ότι κανένα pool ή φάκελος δεν ξαναβάζει πεπερασμένο όριο. Κατεβάστε τοpost_max_sizeστα 8M αν δεν θέλετε uploads, ή στα 32M αν θέλετε, και κρατήστε τοupload_max_filesizeχαμηλότερα. Μην χρησιμοποιήσετεRLIMIT_ASήRLIMIT_DATAστη θέση του. Αυτά τα όρια μπορούν να προκαλέσουν την αποτυχία μνήμης που χρησιμοποιεί το κενό. - Κλείστε το session upload progress
Για το CVE-2026-109619, βάλτε
session.upload_progress.enabled=0στο php.ini ή στο FPM pool, και κάντε restart σε κάθε worker. Τοini_set()και το.user.iniδεν προλαβαίνουν. Στο PHP 8.5 βάλτε καιfatal_error_backtraces=0και ξανακάντε restart. - Αφήστε τη ρύθμιση κλειστή μέχρι το επόμενο bugfix
Το σημείωμα της 23ης Οκτωβρίου αφορά το CVE-2026-115560. Το επιπλέον θέμα θέλει σπάνιο στήσιμο: η εφαρμογή έχει
session.serialize_handlerσεphp_binaryήphp_serialize, και μετά το γυρίζει σεphpμεini_set()πριν τοsession_start(), ενώ το upload progress είναι ακόμη ανοιχτό. Όσες εφαρμογές δεν αλλάζουν αυτό το handler στο runtime μπορούν να το αφήσουν ανοιχτό. Αν το κλείσατε στις 21 Οκτωβρίου, αφήστε το κλειστό. Τίποτα άλλο μέχρι το επόμενο release.
Αν τον τρέχουμε εμείς.
Καλέστε και ελέγχουμε την έκδοση στα συστήματα που διαχειριζόμαστε. Site σε άλλον host θέλει το πακέτο από εκείνον.
- Servers και site που διαχειριζόμαστε
Καλέστε +30 210 7006284 ή ανοίξτε αίτημα στο EMPIST 360. Ελέγχουμε την έκδοση PHP που τρέχει και βάζουμε το πακέτο του λειτουργικού ή του host. Η τακτική κάλυψη είναι στο patch management.
- Site σε άλλον host
Ζητήστε την έκδοση PHP, όχι την έκδοση WordPress. Τα control panels συχνά κρύβουν το PHP σε έναν selector. Αν δεν μπορούν να βάλουν το patch, βγάλτε το site offline μέχρι να μπορέσουν.
- Αν βλέπετε ήδη συμπεριφορά εισβολέα
Το patch σε server που έχει ήδη παραβιαστεί δεν φτάνει. Δείτε το Incident Response και καλέστε. Μην σβήνετε μηχανήματα πριν σας πει κάποιος πώς να τα απομονώσετε.
Οι ερωτήσεις που έρχονται πρώτες
WordPress, παλιό PHP, και τι άλλαξε στις 23 Οκτωβρίου.
01Φτάνει να ενημερώσω το WordPress;
02Ποια έκδοση PHP είναι εντάξει;
03Οι servers που διαχειρίζεται η EMPIST έχουν ήδη το patch;
04Δεν μπορώ να κάνω update σήμερα. Τι κάνω;
05Τι είναι το PHP2Shell;
06Τι άλλαξε στις 23 Οκτωβρίου;
session.upload_progress.enabled=0 μέχρι το επόμενο bugfix, για ένα σπάνιο επιπλέον κενό, το CVE-2026-115560. Αν το βάλατε ήδη στις 21 Οκτωβρίου, αφήστε το. Τα patches της 21ης Οκτωβρίου παραμένουν απαραίτητα.Δεν είστε σίγουροι ποιοι servers τρέχουν PHP;
Πείτε μας τι φιλοξενείτε. Ελέγχουμε την έκδοση και τον δρόμο για το patch. Οι πελάτες μπορούν και να καλέσουν το service desk.