Νέο κενό ασφαλείας PHP φέρνει προειδοποιήσεις μετά τα PHP2Shell

Η δημοφιλής γλώσσα προγραμματισμού PHP απηύθυνε προειδοποίηση για έναν ακόμη πιθανό τρόπο με τον οποίο ένας κακόβουλος χρήστης θα μπορούσε να εκτελέσει κώδικα σε έναν διακομιστή ιστού, μόλις δύο ημέρες μετά τη διάθεση επειγουσών διορθώσεων για τα κρίσιμα κενά ασφαλείας PHP2Shell.

Το νέο ζήτημα, το οποίο καταγράφηκε με τον κωδικό CVE-2026-115560, επηρεάζει αποκλειστικά εφαρμογές web που διαθέτουν μια ασυνήθιστη διαμόρφωση, ενώ η ομάδα ανάπτυξης της PHP το αξιολογεί ως κίνδυνο χαμηλής πιθανότητας.

Η κοινότητα αποφάσισε να μην προχωρήσει στην έκδοση κάποιου έκτακτου διορθωτικού πακέτου για αυτή την περίπτωση. Αντίθετα, προτείνεται η προσωρινή απενεργοποίηση μιας λειτουργίας που ονομάζεται session upload progress, έως ότου υπάρξει επίσημη λύση στην επόμενη προγραμματισμένη αναβάθμιση.

Η σχετική προειδοποίηση δόθηκε στη δημοσιότητα μέσα από μια συνοπτική ενημερωτική ανακοίνωση στις 23 Οκτωβρίου. Η εξέλιξη αυτή έρχεται σε συνέχεια της έκτακτης κυκλοφορίας στις 21 Οκτωβρίου, η οποία έλυσε τα δύο κρίσιμα ζητήματα PHP2Shell με κωδικούς CVE-2026-109618 και CVE-2026-109619, τα οποία επέτρεπαν σε εισβολείς χωρίς λογαριασμό να εκτελούν κώδικα σε έναν server. Τα εν λόγω τρωτά σημεία αντιμετωπίστηκαν στις εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35, ενώ το νέο ζήτημα είναι εντελώς διαφορετικό και δεν διορθώνεται από τις προαναφερθείσες εκδόσεις.

Μόνο μια περιορισμένη κατηγορία διαμορφώσεων διατρέχει κίνδυνο. Η PHP εξηγεί ότι το πρόβλημα μπορεί να εμφανιστεί όταν μια εφαρμογή ιστού πραγματοποιεί τα εξής βήματα: ορίζει την επιλογή session.serialize_handler σε php_binary ή php_serialize μέσα στις ρυθμίσεις της, στη συνέχεια την τροποποιεί σε php κατά την εκτέλεση καλώντας τη συνάρτηση ini_set(), και εφαρμόζει αυτή την αλλαγή προτού καλέσει την εντολή session_start().

Παράλληλα, η λειτουργία παρακολούθησης προόδου μεταφόρτωσης συνεδρίας πρέπει να παραμένει ενεργή. Μια εφαρμογή που δεν αλλάζει ποτέ τον χειριστή σειριοποίησης κατά τη λειτουργία της μπορεί να αφήσει αυτή τη δυνατότητα ενεργοποιημένη χωρίς να εκτίθεται σε αυτόν τον κίνδυνο, με την PHP να διευκρινίζει ότι μια τέτοια διαμόρφωση σπάνια συναντάται στην πράξη.

Η απαιτούμενη ενέργεια περιορίζεται σε μία μόνο γραμμή κώδικα. Η PHP συνιστά να τεθεί η παράμετρος session.upload_progress.enabled=0 μέχρι την επόμενη τακτική κυκλοφορία διορθώσεων σφαλμάτων, κάτι που αποτελεί ακριβώς τη ρύθμιση που είχε ήδη προταθεί ως μέτρο μετριασμού στην ανακοίνωση της 21ης Οκτωβρίου για το CVE-2026-109619.

Όσοι διαχειριστές εφάρμοσαν τότε τη συγκεκριμένη αλλαγή και την διατήρησαν δεν χρειάζεται να προβούν σε καμία επιπλέον ενέργεια για το νέο ζήτημα. Η λειτουργία παρακολούθησης προόδου μεταφόρτωσης είναι ενεργοποιημένη από προεπιλογή και επιτρέπει σε μια εφαρμογή να παρακολουθεί την πρόοδο μιας αποστολής αρχείου.

Επειδή η απαιτούμενη διαμόρφωση δεν είναι συνηθισμένη, οι υπεύθυνοι της PHP διαχειρίζονται τη διόρθωση ως μέρος του κανονικού κύκλου κυκλοφοριών τους και όχι ως επCείγον περιστατικό, υποσχόμενοι να δημοσιεύσουν μια πλήρη αναφορά για το CVE-2026-115560 μαζί με την επόμενη αναβάθμιση.

Η ομάδα της PHP δεν έχει αναφέρει ποιες εκδόσεις επηρεάζονται, ποιες κυκλοφορίες θα περιλαμβάνουν τη λύση, ούτε έχει δώσει κάποια βαθμολογία σοβαρότητας. Δεν έχει αποσαφηνιστεί αν το νέο ζήτημα μοιράζεται κοινή βασική αιτία με το CVE-2026-109619.

Μέχρι στιγμής δεν έχουν αναφερθεί περιστατικά εκμετάλλευσης του CVE-2026-115560, καθώς οι επιθέσεις που καταγράφονται από τις 21 Οκτωβρίου στρέφονται αποκλειστικά στα δύο προηγούμενα ζητήματα PHP2Shell.

Σε ξεχωριστό επίπεδο, οι προσπάθειες αξιοποίησης των δύο προγενέστερων τρωτών σημείων έχουν πολλαπλασιαστεί δραματικά. Η Amazon δήλωσε ότι τα συστήματα παγίδευσής της κατέγραψαν μία απόπειρα επίθεσης ενάντια στα CVE-2026-109618 και CVE-2026-109619 στις 17 Οκτωβρίου, τέσσερις ημέρες πριν αποκαλυφθούν επίσημα τα σφάλματα, ενώ η Cloudflare σημείωσε ότι οι σχετικές προσπάθειες εκτοξεύθηκαν από δεκάδες χιλιάδες μέσα σε 45 λεπτά από τη δημοσιοποίηση της 21ης Οκτωβρίου σε εκατομμύρια μέχρι τις πρώτες ώρες της 22ας Οκτωβρίου, αναδεικνύοντας πόσο κρίσιμος είναι ο εντοπισμός για κάθε πιθανό κενό ασφαλείας PHP బయτ.

Κακόβουλοι χρήστες επιχείρησαν να αξιοποιήσουν τα τρωτά σημεία προκειμένου να εγκαταστήσουν μια παραλλαγή του botnet Mirai, σύμφωνα με τις εκτιμήσεις των εταιρειών Sophos και Arctic Wolf. Αυτές οι προσπάθειες μέχρι στιγμής δεν έχουν στεφθεί με επιτυχία, καθώς οι Previdian, Wordfence και άλλοι οργανισμοί αναφέρουν ενέργειες σάρωσης και ανίχνευσης, χωρίς όμως να υπάρχει επιβεβαιωμένη εκτέλεση κώδικα.

Ερευνητικές αναλύσεις για τα κενά ασφαλείας PHP

Οι ερευνητές επισημαίνουν ότι η δημιουργία ενός αξιόπιστου exploits αποδεικνύεται τελικά αρκετά πιο δύσκολη από ό,τι αναμενόταν αρχικά. Η εν λόγω δραστηριότητα επικεντρώνεται αποκλειστικά στα δύο κρίσιμα σφάλματα που διορθώθηκαν στις 21 Οκτωβρίου, αφήνοντας εκτός το CVE-2026-115560, για το οποίο δεν έχει καταγραφεί καμία απολύτως αναφορά επίθεσης.

Πηγή: thehackernews.com