Η ομάδα ασφαλείας της PHP ανακοίνωσε έκτακτη έκδοση για την Τετάρτη 21 Οκτωβρίου στις 14:00 UTC, για δύο ευπάθειες με βαθμολογία 9,2 στην κλίμακα CVSS v4.0. Οι ερευνητές της watchTowr λένε ότι πρόκειται για κενά απομακρυσμένης εκτέλεσης κώδικα, CVE-2026-109618 και CVE-2026-109619, που πιστεύεται ότι αφορούν τις εκδόσεις 5 έως 8. Πληροφορίες είχαν διαρρεύσει πριν από την προγραμματισμένη αποκάλυψη, αλλά δεν έχει καταγραφεί εκμετάλλευση. Οι λεπτομέρειες και οι εκδόσεις με διόρθωση θα δημοσιευτούν μαζί με τα patches.

Τι σημαίνει: Η PHP τρέχει πίσω από ένα μεγάλο μέρος του web, από WordPress και ηλεκτρονικά καταστήματα μέχρι εσωτερικές εφαρμογές επιχειρήσεων, οπότε δύο κρίσιμα κενά απομακρυσμένης εκτέλεσης είναι από τα σοβαρότερα σενάρια για διαχειριστές. Η διαρροή πριν την προγραμματισμένη ημερομηνία μικραίνει το περιθώριο: μόλις δημοσιευτούν οι διορθώσεις, οι επιτιθέμενοι θα συγκρίνουν τον κώδικα και θα προσπαθήσουν να φτιάξουν exploit μέσα σε ώρες. Οι ομάδες IT χρειάζεται να έχουν ήδη λίστα με όλους τους servers που τρέχουν PHP, συμπεριλαμβανομένων container images και παλιών εφαρμογών που ξεχνιούνται. Όσοι χρησιμοποιούν hosting θα πρέπει να ρωτήσουν τον πάροχο πότε θα εφαρμόσει την ενημέρωση. Το μεγαλύτερο πρόβλημα αφορά τις εκδόσεις που δεν υποστηρίζονται πια, όπως η PHP 5 ή 7, για τις οποίες πιθανότατα δεν θα υπάρξει επίσημη διόρθωση. Εκεί η μόνη ασφαλής λύση είναι αναβάθμιση ή απομόνωση πίσω από firewall εφαρμογών. Μέχρι να γίνουν γνωστές οι τεχνικές λεπτομέρειες, είναι λογικό να αυξηθεί η παρακολούθηση των logs για ασυνήθιστα αιτήματα. Για τις ελληνικές μικρομεσαίες επιχειρήσεις με e-shop, αυτή είναι η εβδομάδα να ελέγξουν ότι κάποιος έχει πραγματικά την ευθύνη των ενημερώσεων.

Διαβάστε το πρωτότυπο στο BleepingComputer

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις