Σοβαρός συναγερμός κυβερνοασφάλειας έχει σημάνει για εκατομμύρια sites παγκοσμίως, μετά την αποκάλυψη δύο κρίσιμων ευπαθειών στην PHP, τη γλώσσα προγραμματισμού που χρησιμοποιείται από ορισμένες από τις μεγαλύτερες διαδικτυακές πλατφόρμες.
Οι ευπάθειες ενδέχεται να επιτρέπουν σε επιτιθέμενους να εκτελούν κακόβουλο κώδικα εξ αποστάσεως, θέτοντας σε κίνδυνο sites, ηλεκτρονικά καταστήματα και εταιρικές εφαρμογές.
Η ομάδα ανάπτυξης της PHP ανακοίνωσε στις 20 Οκτωβρίου 2026 ότι προετοιμάζει έκτακτη ενημέρωση ασφαλείας για σήμερα, Τετάρτη 21 Οκτωβρίου, στις 17:00 ώρα Ελλάδας. Και οι δύο ευπάθειες έχουν αξιολογηθεί με βαθμολογία επικινδυνότητας 9,2 στα 10, προκαλώντας την κινητοποίηση ευρωπαϊκών και διεθνών οργανισμών κυβερνοασφάλειας.
Παράλληλα, η Cloudflare έχει αναφέρει πρώιμες απόπειρες εκμετάλλευσης και έχει ενεργοποιήσει προσωρινά μέτρα προστασίας.
Δύο κρίσιμες ευπάθειες με κίνδυνο απομακρυσμένης εκτέλεσης κώδικα
Οι δύο ευπάθειες παρακολουθούνται με τις ονομασίες CVE-2026-109618 και CVE-2026-109619 και συνδέονται, σύμφωνα με τις μέχρι στιγμής αναφορές ειδικών ασφαλείας, με επιθέσεις τύπου Remote Code Execution (RCE).
Αυτό σημαίνει ότι ένας επιτιθέμενος θα μπορούσε, υπό συγκεκριμένες συνθήκες, να εκτελέσει δικό του κώδικα στον server μιας ιστοσελίδας χωρίς να διαθέτει προηγουμένως νόμιμα στοιχεία σύνδεσης.
Οι πιθανές συνέπειες περιλαμβάνουν την υποκλοπή πληροφοριών, την αλλοίωση ιστοσελίδων, την εγκατάσταση κακόβουλου λογισμικού και την παραβίαση συστημάτων που συνδέονται με τον ευάλωτο server.
Η βαθμολογία CVSS 9,2 σύμφωνα με την έκδοση 4.0 του συστήματος αξιολόγησης υποδεικνύει κρίσιμη σοβαρότητα. Ωστόσο, οι ακριβείς τεχνικές συνθήκες εκμετάλλευσης και το πλήρες εύρος των επηρεαζόμενων εγκαταστάσεων αναμένεται να αποσαφηνιστούν με την επίσημη δημοσίευση των διορθώσεων.
Γιατί επηρεάζεται τόσο μεγάλο μέρος του διαδικτύου
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
— The PHP Foundation (@ThePHPF) October 20, 2026
Η PHP αποτελεί μία από τις βασικές τεχνολογίες ανάπτυξης δυναμικών ιστοσελίδων. Χρησιμοποιείται από δημοφιλή συστήματα διαχείρισης περιεχομένου, όπως το WordPress, το Drupal και το Joomla, αλλά και από πλατφόρμες ηλεκτρονικού εμπορίου και επιχειρησιακές εφαρμογές.
Το WordPress από μόνο του υποστηρίζει περισσότερο από το 43% των ιστοσελίδων παγκοσμίως, σύμφωνα με στοιχεία που δημοσιοποίησε το ίδιο το εγχείρημα το 2025.
Αυτό εξηγεί γιατί οι προειδοποιήσεις για τις ευπάθειες στην PHP αποκτούν ιδιαίτερη βαρύτητα. Δεν πρόκειται για πρόβλημα που περιορίζεται σε μία εφαρμογή ή σε ένα συγκεκριμένο πρόσθετο, αλλά για πιθανή αδυναμία στην υποκείμενη τεχνολογία λειτουργίας πολλών websites.
Πάντως, το γεγονός ότι μια ιστοσελίδα χρησιμοποιεί WordPress ή PHP δεν αποδεικνύει αυτομάτως ότι μπορεί να παραβιαστεί. Ο πραγματικός κίνδυνος εξαρτάται από την έκδοση του λογισμικού, τη διαμόρφωση του server και τις συγκεκριμένες συνθήκες εκμετάλλευσης.
Σύμφωνα με προκαταρκτική εκτίμηση ερευνητή ασφαλείας, περισσότερα από 1,3 εκατομμύρια συστήματα με σύνδεση στο διαδίκτυο ενδέχεται να είναι εκτεθειμένα. Ο αριθμός αποτελεί εκτίμηση πιθανής έκθεσης και όχι επιβεβαιωμένο πλήθος ευάλωτων servers.
Προειδοποιήσεις από ευρωπαϊκούς οργανισμούς κυβερνοασφάλειας
Η CERT-EU, η ομάδα αντιμετώπισης περιστατικών κυβερνοασφάλειας των θεσμικών οργάνων της Ευρωπαϊκής Ένωσης, εξέδωσε επείγουσα προειδοποίηση καλώντας τους οργανισμούς να εντοπίσουν τις εφαρμογές τους που χρησιμοποιούν PHP και να προετοιμαστούν για άμεση εγκατάσταση των διορθώσεων.
Η ευρωπαϊκή υπηρεσία επισημαίνει ότι, εφόσον δεν είναι δυνατή η άμεση ενημέρωση, πρέπει να εξετάζεται η προσωρινή απομόνωση των ευάλωτων εφαρμογών από τα δημόσια δίκτυα.
Ανάλογη σύσταση εξέδωσε το βρετανικό National Cyber Security Centre, το οποίο προτείνει αυξημένη παρακολούθηση των διαδικτυακών συστημάτων και προσωρινή διακοπή της πρόσβασης όπου δεν μπορεί να εξασφαλιστεί επαρκής προστασία.
Η πιθανότητα προσωρινής διακοπής λειτουργίας ιστοσελίδων σχετίζεται επομένως και με προληπτικές αποφάσεις των διαχειριστών τους, όχι μόνο με ενδεχόμενες κυβερνοεπιθέσεις.
Οι πρώτες επιθέσεις και η παρέμβαση της Cloudflare
Η κατάσταση γίνεται περισσότερο ανησυχητική καθώς η Cloudflare, μία από τις μεγαλύτερες εταιρείες προστασίας και διαχείρισης διαδικτυακής κίνησης, ανακοίνωσε ότι παρατηρεί πρώιμες επιθέσεις που σχετίζονται με τις νέες ευπάθειες.
Η εταιρεία έχει ενεργοποιήσει επείγοντες κανόνες προστασίας στο Web Application Firewall (WAF), συμπεριλαμβανομένων κανόνων που διατίθενται και στους χρήστες της δωρεάν υπηρεσίας της.
Τα μέτρα αυτά επιχειρούν να αναγνωρίζουν και να αποκλείουν ύποπτα αιτήματα πριν φτάσουν στους ευάλωτους servers.
Ωστόσο, αποτελούν προσωρινή γραμμή άμυνας και όχι οριστική αντιμετώπιση του προβλήματος. Δεν έχει επιβεβαιωθεί γενικευμένη παραβίαση ιστοσελίδων, ενώ η εμφάνιση επιθετικής δραστηριότητας δεν σημαίνει ότι κάθε απόπειρα είναι επιτυχής.
Τι πρέπει να κάνουν οι ιδιοκτήτες ιστοσελίδων και οι διαχειριστές
Η σημαντικότερη ενέργεια είναι η επιβεβαίωση της έκδοσης PHP που χρησιμοποιεί κάθε server και η εγκατάσταση των επίσημων ενημερώσεων μόλις διατεθούν.
Για τους ιδιοκτήτες ιστοσελίδων WordPress, ιδιαίτερη προσοχή απαιτείται στο γεγονός ότι η αναβάθμιση της PHP δεν πραγματοποιείται μέσω των συνηθισμένων αυτόματων ενημερώσεων του WordPress, των themes ή των plugins.
Η ευθύνη ανήκει στον διαχειριστή του server ή στον πάροχο hosting, ανάλογα με την υπηρεσία φιλοξενίας. Σε ορισμένες managed hosting υποδομές, οι ενημερώσεις εγκαθίστανται κεντρικά από τον πάροχο.
Συνιστάται επίσης η διατήρηση πρόσφατων αντιγράφων ασφαλείας, η παρακολούθηση των logs για ύποπτη δραστηριότητα και ο έλεγχος συμβατότητας πριν από σημαντικές αλλαγές σε παραγωγικά συστήματα.
Μια κρίσιμη δοκιμασία για την ασφάλεια του διαδικτύου
Η έκτακτη ενημέρωση της PHP αναδεικνύει πόσο μεγάλο μέρος του σύγχρονου διαδικτύου εξαρτάται από κοινές τεχνολογικές υποδομές.
Μια ευπάθεια σε ευρέως χρησιμοποιούμενο λογισμικό μπορεί να επηρεάσει ταυτόχρονα μικρές επιχειρήσεις, ενημερωτικές ιστοσελίδες, ηλεκτρονικά καταστήματα και μεγάλους οργανισμούς.
Η ανακοίνωση των διορθώσεων στις 17:00 ώρα Ελλάδας αποτελεί το επόμενο κρίσιμο στάδιο, καθώς θα επιτρέψει την ακριβέστερη αξιολόγηση του κινδύνου και την έναρξη των απαραίτητων ενημερώσεων.
Το ζητούμενο πλέον είναι η ταχύτητα αντίδρασης των διαχειριστών, πριν οι επιτιθέμενοι αποκτήσουν τη δυνατότητα να εκμεταλλευτούν μαζικά τις συγκεκριμένες αδυναμίες ασφαλείας.
