Οι ευπάθειες, που παρακολουθούνται ως CVE-2026-109618 και CVE-2026-109619, θα μπορούσαν να επιτρέψουν στους εισβολείς να εκτελούν εξ αποστάσεως κακόβουλο κώδικα σε ευάλωτους διακομιστές χωρίς έλεγχο ταυτότητας. Η ομάδα ασφαλείας της PHP εξέδωσε ενημερώσεις στις 21 Οκτωβρίου 2026 στις 13:40 UTC. Πλήρεις τεχνικές λεπτομέρειες αυτών των ενημερώσεων, καθώς και οι επηρεαζόμενες και οι σταθερές εκδόσεις συνοδεύουν την έκδοση.
Μπορείτε να βρείτε συμβουλές ασφαλείας PHP στη διεύθυνση: https://www.php.net/archive/2026.php
Οι οργανισμοί θα πρέπει να προσδιορίζουν τις εφαρμογές τους που βασίζονται στην PHP, να συντονίζονται με τους παρόχους φιλοξενίας και υπηρεσιών και να εφαρμόζουν τις ενημερώσεις ασφαλείας που έχουν κυκλοφορήσει. Προτεραιότητα στα συστήματα που αντιμετωπίζουν το διαδίκτυο. Όταν δεν είναι εφικτή η άμεση αποκατάσταση, εξετάστε το ενδεχόμενο απομόνωσης των εκτεθειμένων εφαρμογών από τα δημόσια δίκτυα έως ότου εφαρμοστούν διορθώσεις.
Πολλά εμπορικά προϊόντα και προϊόντα ανοιχτού κώδικα βασίζονται στην PHP στο παρασκήνιο. Ως αποτέλεσμα, ορισμένοι μπορεί να επηρεαστούν από αυτές τις ευπάθειες, ακόμη και αν δεν φαίνεται να χρησιμοποιούν απευθείας την PHP. Συνιστούμε να ελέγξετε το αποθετήριο NCSC-NL GitHub για πληροφορίες σχετικά με λογισμικό τρίτων που περιλαμβάνει PHP και ενδέχεται να επηρεαστεί: https://github.com/NCSC-NL/php2shell
Οι τελευταίες συμβουλές που δημοσιεύθηκαν από τα μέλη του δικτύου CSIRT διατίθενται στους σχετικούς επίσημους διαύλους επικοινωνίας τους. Οι οργανισμοί μπορούν επίσης να παραπέμπουν στην καθοδήγηση που παρέχει η CERT-ΕΕ. Ο ENISA διατηρεί συμβουλευτική συλλογή στη διεύθυνση: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
Ο ENISA και όλοι οι σχετικοί παράγοντες της ΕΕ θα συνεχίσουν να παρακολουθούν την απειλή αυτή, ώστε να συμβάλουν στη συνολική επίγνωση της κατάστασης σε επίπεδο Ένωσης.
Πολιτική της ΕΕ
Οι οργανισμοί θα πρέπει να γνωρίζουν περαιτέρω ότι, από τις 11 Σεπτεμβρίου 2026, οι κατασκευαστές προϊόντων υλισμικού και λογισμικού πρέπει να αναφέρουν τα τρωτά σημεία που αποτελούν αντικείμενο ενεργού εκμετάλλευσης μέσω της ενιαίας πλατφόρμας υποβολής εκθέσεων των ΟΑΠΙ, σύμφωνα με τον κανονισμό (ΕΕ) 2024/2847 (πράξη για την κυβερνοανθεκτικότητα). Περισσότερες πληροφορίες είναι διαθέσιμες στη διεύθυνση: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting και https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Οι βασικές απαιτήσεις κυβερνοασφάλειας της πράξης για την κυβερνοανθεκτικότητα (CRA) θα εφαρμόζονται από τις 11 Δεκεμβρίου 2027. Αυτό θα απαιτήσει από τους κατασκευαστές προϊόντων υλισμικού και λογισμικού (στο εξής: προϊόντα με ψηφιακά στοιχεία) να εφαρμόζουν την ασφάλεια εκ σχεδιασμού και να διασφαλίζουν την υποστήριξη της ασφάλειας κατά τη διάρκεια του κύκλου ζωής των εν λόγω προϊόντων, συμπεριλαμβανομένης της αποκατάστασης των τρωτών σημείων χωρίς καθυστέρηση.
Last update
22 Οκτώβριος 2026