Η εταιρεία ασφαλείας Wiz Research αποκάλυψε ένα σύνολο κρίσιμων σημείων ευπάθειας στον πυρήνα της μηχανής PHP στις 21 Οκτωβρίου 2026, προειδοποιώντας ότι τα ελαττώματα - που ονομάζονται συλλογικά PHP2Shell - επιτρέπουν την εκτέλεση απομακρυσμένου κώδικα χωρίς έλεγχο ταυτότητας και την αποκάλυψη μνήμης τύπου Heartbleed στο λογισμικό που τροφοδοτεί το ποσοστό όλων των εκτιμώμενων ιστότοπων70. Το έργο PHP κυκλοφόρησε ενημερώσεις κώδικα την ίδια μέρα και η Wiz προτρέπει για άμεσες ενημερώσεις στην τεράστια εγκατεστημένη βάση του Ιστού.
Η PHP είναι η ραχοκοκαλιά μεγάλου μέρους του Διαδικτύου: τροφοδοτεί το WordPress, το Joomla, το Drupal και το MediaWiki, το λογισμικό που τρέχει τη Wikipedia. Είναι πολύ σημαντικό ότι τα σφάλματα που αποκαλύφθηκαν πρόσφατα ζουν στον πυρήνα της PHP, όχι σε καμία εφαρμογή που είναι κατασκευασμένη πάνω της, πράγμα που σημαίνει ότι οι ιστότοποι μπορούν να εκτεθούν ακόμη και όταν ο δικός τους κώδικας εφαρμογής είναι ασφαλής. For more context on this story, see our ongoing more AI stories.
Ποια είναι τα τρωτά σημεία
Σύμφωνα με την τεχνική περιγραφή του Wiz από τους ερευνητές Sagi Tzadik, Shir Tamari, Nir Ohfeld και Tomer Schwartz, όλα τα σφάλματα που αποκαλύπτονται είναι ζητήματα ασφάλειας μνήμης που έχουν ρίζες στον τρόπο με τον οποίο η PHP χειρίζεται μοιραία σφάλματα κατά την επεξεργασία αιτημάτων — ιδιαίτερα σφάλματα εκτός μνήμης. Ένα αίτημα που έχει διακοπεί μπορεί να αφήσει πίσω του μια κατεστραμμένη εσωτερική κατάσταση PHP και ένα μεταγενέστερο αίτημα ή εργαζόμενος που επαναχρησιμοποιεί αυτήν την παλαιά κατάσταση μπορεί να προκαλέσει αποκάλυψη μνήμης ή καταστροφή της μνήμης.
Τα ευρήματα ομαδοποιήθηκαν σε δύο CVE με μέγιστη σοβαρότητα CVSS 9,2:
- CVE-2026-109618 — ένα πρόγραμμα unserializer προόδου μεταφόρτωσης που χρησιμοποιεί-μετά-δωρεάν που ένας εισβολέας μπορεί να αξιοποιήσει για απομακρυσμένη αποκάλυψη μνήμης διεργασιών και, σε αποδεδειγμένες αλυσίδες, πλήρη απομακρυσμένη εκτέλεση κώδικα. Το Wiz έδειξε μη επαληθευμένη αποκάλυψη της μνήμης εργασίας της PHP και προ-έλεγχος RCE σε WordPress, Drupal και Joomla.
- CVE-2026-109619 — ένα μοιραίο σφάλμα αναδρομής χρήσης-μετά-δωρεάν σε συνδυασμό με σύγχυση τύπου OPcache, που επίσης αποδείχθηκε ότι αποδίδει την εκτέλεση απομακρυσμένου κώδικα πριν από τον έλεγχο ταυτότητας σε Drupal και WordPress.
Η μνήμη που μπορούν να διαβάσουν οι εισβολείς μπορεί να περιέχει κωδικούς πρόσβασης, διακριτικά ελέγχου ταυτότητας, κλειδιά API και πιστοποιητικά που ανήκουν σε άλλα αιτήματα ή στον ίδιο τον διακομιστή, είπε ο Wiz. Κάθε έκδοση PHP που κυκλοφόρησε την τελευταία δεκαετία - πηγαίνοντας πίσω στην PHP 5.4 - επηρεάζεται από τουλάχιστον ένα από τα τρωτά σημεία και η εταιρεία λέει ότι αυτά κατατάσσονται μεταξύ των πιο σοβαρών ελαττωμάτων που έχουν βρεθεί ποτέ στην PHP.
Πού μπαίνει το AI
Ο πιο συνεπής ισχυρισμός στην έκθεση του Wiz δεν αφορά καθόλου την PHP – είναι για το τι έχουν κάνει τα μοντέλα τεχνητής νοημοσύνης συνόρων για να εκμεταλλευτούν την ανάπτυξη.
Τα υποκείμενα ελαττώματα, γράφει ο Wiz, υπήρχαν εδώ και δεκαετίες, αλλά η απόδειξη της εκμεταλλευσιμότητας απαιτούσε «μια εξαιρετικά περίπλοκη αλυσίδα βημάτων, στην άκρη αυτού που θα μπορούσαν πρακτικά να επιτύχουν οι ανθρώπινοι ερευνητές». Το exploit έπρεπε να αλυσοδέσει πολλαπλά ελαττώματα και να προσαρμοστεί στη διάταξη μνήμης κάθε στόχου μέσω επαναλαμβανόμενων δοκιμών και εντοπισμού σφαλμάτων.
Τα μοντέλα Frontier AI, λέει η εταιρεία, μείωσαν ουσιαστικά αυτό το εμπόδιο - «μετατρέποντας ένα μακροχρόνιο ελάττωμα σε εκμετάλλευση» - και επέτρεψαν στην ομάδα του Wiz να αναπτύξει και να προσαρμόσει λειτουργικά exploit σε πολλαπλές εφαρμογές σε ώρες και όχι εβδομάδες.
«Καθώς ο χρόνος και η τεχνογνωσία που απαιτούνται για αυτήν την εργασία μειώνονται, η πολυπλοκότητα μπορεί να μην αποτελεί πλέον ουσιαστικό εμπόδιο, αλλάζοντας τον τρόπο με τον οποίο ορίζουμε τι είναι ευάλωτο στην πράξη», έγραψαν οι ερευνητές.
Σημείο καμπής στην εποχή της τεχνητής νοημοσύνης;
Το Wiz πλαισιώνει ρητά το PHP2Shell μαζί με δύο προηγούμενες στιγμές αιχμής στην ασφάλεια ιστού: το Heartbleed το 2014, το οποίο αποκάλυψε την ευθραυστότητα της κοινής υποδομής που ασφαλίζει το διαδίκτυο και το Log4Shell το 2021, το οποίο αποκάλυψε πόσο βαθιά ενσωματωμένες εξαρτήσεις λογισμικού δημιουργούν ευρεία έκθεση. Η εταιρεία υποστηρίζει ότι το PHP2Shell θα μπορούσε να σηματοδοτήσει ένα παρόμοιο σημείο καμπής - αυτή τη φορά απεικονίζοντας πώς η τεχνητή νοημοσύνη αλλάζει την πρακτική εκμεταλλευσιμότητα των γνωστών από καιρό αδυναμιών.
Αυτό το πλαίσιο έχει σημασία πέρα από την PHP. Θεωρητικά τρωτά σημεία που ήταν ασφαλώς απρόσιτα επειδή η εκμετάλλευσή τους ήταν πολύ δύσκολη, πολύ αργή ή πολύ εξειδικευμένη μπορεί τώρα να είναι προσβάσιμα από επιτιθέμενους με καλά πόρους οπλισμένους με εργαλεία τεχνητής νοημοσύνης - μια αλλαγή με προφανείς συνέπειες για αμυντικούς προϋπολογισμούς, ρυθμούς ενημέρωσης κώδικα και χρονοδιαγράμματα αποκάλυψης στη βιομηχανία λογισμικού.
Μια συντονισμένη δικλαδική επιδιόρθωση
Η αποκάλυψη ήταν συντονισμένη. Ο Wiz ευχαρίστησε την ομάδα PHP και το OpenAI για το έργο τους στην ανακάλυψη, τον συντονισμό και την επαλήθευση ενημερώσεων κώδικα, σημειώνοντας ότι τόσο το OpenAI όσο και η PHP δημοσίευσαν τις δικές τους τεχνικές καταγραφές του ιστορικού και της διαδικασίας αποκάλυψης της ευπάθειας.
Μια δικλαδική ομάδα — συμπεριλαμβανομένων των Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft και Vercel — ετοίμασε καθοδήγηση και εκ των υστέρων μετριασμούς για πελάτες που δεν μπορούν να ενημερώσουν άμεσα. Η Cloudflare ανακοίνωσε ξεχωριστά στις 21 Οκτωβρίου ότι έχει αναπτύξει προστασία WAF έναντι των τρωτών σημείων της PHP για τους πελάτες της.
Τι πρέπει να κάνουν οι ιδιοκτήτες ιστότοπου
Η συμβουλή από τη Wiz είναι αμβλεία: επιδιορθώστε αμέσως. Το έργο PHP κυκλοφόρησε διορθώσεις για τα τρωτά σημεία ασφαλείας της μνήμης στις 21 Οκτωβρίου 2026 και κάθε υποστηριζόμενη ανάπτυξη PHP θα πρέπει να ενημερώνεται το συντομότερο δυνατό.
Οι οργανισμοί που δεν μπορούν να επιδιορθώσουν αμέσως θα πρέπει να εφαρμόσουν τους μετριασμούς που δημοσιεύουν οι πάροχοι CDN, φιλοξενίας ή WAF, αρκετοί από τους οποίους απέστειλαν κανόνες που στοχεύουν τις αλυσίδες εκμετάλλευσης την πρώτη ημέρα. Οι διαχειριστές των στόλων WordPress, Drupal και Joomla θα πρέπει να το αντιμετωπίζουν ως έναν κύκλο ενημερωμένης έκδοσης κώδικα προτεραιότητας: το Wiz έδειξε την εκτέλεση απομακρυσμένου κώδικα προαυθεντικοποίησης και στις τρεις πλατφόρμες και οι ευάλωτες διαδρομές κώδικα υπάρχουν ανεξάρτητα από το πόσο καλά διατηρούνται οι εφαρμογές πάνω από αυτές.
Το βαθύτερο μάθημα μπορεί να είναι αυτό που άντλησε η ίδια η Wiz: όταν η τεχνητή νοημοσύνη μπορεί να συμπιέσει μήνες exploit engineering σε ώρες, ο εργασιακός ορισμός του κλάδου του "πρακτικά εκμεταλλεύσιμου" - και μαζί του, η έννοια των χρονοδιαγραμμάτων υπεύθυνης ενημέρωσης κώδικα - μόλις άλλαξε.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
