Ευπάθεια PHP της 21ης Οκτωβρίου: τι συνέβη και πώς έχει η κατάσταση σήμερα

Την Τετάρτη 21 Οκτωβρίου έγιναν γνωστές δύο σοβαρές ευπάθειες ασφαλείας στην PHP, τη γλώσσα προγραμματισμού στην οποία βασίζεται η συντριπτική πλειοψηφία όλων των ιστοτόπων, συμπεριλαμβανομένου του WordPress. Ίσως το αντιληφθήκατε, καθώς για μέρος της ημέρας οι ιστότοποι σε εμάς ήταν εκτός λειτουργίας. Σε αυτό το άρθρο παραθέτουμε τι συνέβη, πώς ενεργήσαμε και πώς έχει η κατάσταση τώρα.

Τι συνέβη;

Οι ευπάθειες (CVE-2026-109618 και CVE-2026-109619) καθιστούσαν δυνατό για μη εξουσιοδοτημένα άτομα να εκτελούν κώδικα σε έναν web server. Αυτό είναι περίπου το χειρότερο είδος ευπάθειας που υπάρχει: ένας επιτιθέμενος δεν χρειάζεται κωδικό πρόσβασης για αυτό και επηρεάζει σχεδόν ολόκληρο το διαδίκτυο.

Πώς ενεργήσαμε

1. Προσωρινό μέτροΤετάρτη 21 Οκτωβρίου, 10:00

   Εκείνη τη στιγμή ήταν γνωστό μόνο ότι υπήρχαν δύο σοβαρές ευπάθειες σε όλες τις εκδόσεις PHP, με βαθμολογία CVE 9,2. Λεπτομέρειες δεν υπήρχαν ακόμα και δεν ήταν γνωστές επιτυχημένες επιθέσεις, αν και για παράδειγμα η Cloudflare έβλεπε όλο και περισσότερες απόπειρες. Επειδή οι λεπτομέρειες της ευπάθειας δεν ήταν γνωστές, κανείς δεν γνώριζε ακριβώς πώς είχε η κατάσταση και τι μπορούσε να γίνει για να περιοριστεί ο κίνδυνος. Σταδιακά όμως γίνονταν γνωστά όλο και περισσότερα μέτρα μετριασμού και πιθανές ενέργειες για τον περιορισμό του κινδύνου. Αυτά τα εφαρμόσαμε άμεσα κάθε φορά, όπως την απενεργοποίηση ορισμένων λειτουργιών PHP και την επανειλημμένη ενημέρωση του firewall.
   Από τις 10:00 εκτελούσαμε επίσης συνεχώς πολύ αυστηρές σαρώσεις κακόβουλου λογισμικού, ώστε να εντοπίζουμε αμέσως αν κάπου τοποθετούνταν ένα script στους διακομιστές μας ή στους λογαριασμούς των πελατών μας. Αυτό δεν συνέβη.

2. Ιστότοποι εκτός λειτουργίαςΤετάρτη 21 Οκτωβρίου, 15:15

   Παρόλο που δεν εντοπίσαμε απόπειρες κατάχρησης στους διακομιστές μας, αποφασίσαμε να επιλέξουμε την ασφαλέστερη λύση: όλα εκτός λειτουργίας. Ο κυριότερος λόγος για αυτό ήταν ότι είχαμε αμφιβολίες για την αποτελεσματικότητα των μέτρων μετριασμού (προσωρινών λύσεων) που κυκλοφορούσαν στο διαδίκτυο, καθώς κανείς δεν μπορούσε να επιβεβαιώσει ότι αυτά θα παρείχαν επαρκή προστασία.
   Σε μια κατάσταση με τόσες πολλές αβεβαιότητες και δυνητικά τεράστιες συνέπειες, μερικές ώρες διακοπής λειτουργίας είναι δικαιολογημένες: η ανάληψη του κινδύνου δεν είναι.

3. Επίσημη λύσηΤετάρτη 21 Οκτωβρίου, 16:00

   Οι δημιουργοί της PHP κυκλοφόρησαν την επίσημη ενημέρωση με τη διόρθωση για τις εκδόσεις 8.3, 8.4 και 8.5. Στη συνέχεια αναμέναμε τα ενημερωμένα πακέτα από την CloudLinux, τον προμηθευτή των εκδόσεων PHP στους διακομιστές μας.
   Με τη δημοσίευση της ενημέρωσης έγιναν επίσης γνωστές οι λεπτομέρειες των ευπαθειών, κάτι που επιβεβαίωσε την υποψία μας: τα γνωστά μέτρα μετριασμού και οι επιπλέον κανόνες firewall μείωναν μεν τον κίνδυνο παραβίασης, αλλά αυτό δεν ήταν αρκετό για την προστασία του διακομιστή.

4. Προσωρινή λύσηΤετάρτη 21 Οκτωβρίου, 19:00

   Δυστυχώς χρειάστηκε πολύ περισσότερος χρόνος από όσο ελπίζαμε και αναμέναμε μέχρι η CloudLinux να έχει έτοιμες τις ενημερώσεις. Από την επικοινωνία μας με άλλους παρόχους προέκυψε ότι δεν ήμασταν οι μόνοι που εκπλήξαμε. Επειδή διαπιστώσαμε ότι είχαν ήδη αστοχήσει αρκετές φορές τις δικές τους προθεσμίες, εργαστήκαμε σε μια προσωρινή λύση.
   Εγκαταστήσαμε οι ίδιοι την έκδοση PHP 8.3.36 σε όλους τους διακομιστές μας και μεταφέραμε προσωρινά όλους τους πελάτες μας σε αυτή την έκδοση. Το 90% των ιστοτόπων επανήλθε online μεταξύ 19:00 και 20:30. Οι μόνοι ιστότοποι που δεν επανήλθαν online ήταν παρωχημένοι και δεν μπορούσαν να λειτουργήσουν με μια σύγχρονη έκδοση PHP.

5. ΕνημέρωσηΠέμπτη 22 Οκτωβρίου, 00:30

   Οι ενημερώσεις έγιναν διαθέσιμες και ξεκινήσαμε αμέσως την εγκατάσταση και τον έλεγχο, διακομιστή προς διακομιστή.

6. ΕπιλύθηκεΠέμπτη 22 Οκτωβρίου, 02:30

   Όλοι οι διακομιστές είχαν ενημερωθεί και όλοι οι ιστότοποι ήταν και πάλι online, στην έκδοση PHP που χρησιμοποιούσαν και προηγουμένως.

Κατανοούμε πλήρως ότι είναι ενοχλητικό όταν ο ιστότοπός σας δεν είναι προσβάσιμος για ένα απόγευμα και μια βραδιά. Ωστόσο, αυτή η ταλαιπωρία δεν αντισταθμίζει τις πιθανές συνέπειες. Ποτέ άλλοτε δεν χρειάστηκε να αποφασίσουμε να θέσουμε τα πάντα εκτός λειτουργίας προληπτικά, αλλά αν η ίδια κατάσταση παρουσιαστεί ξανά, θα κάνουμε ακριβώς το ίδιο.

Πώς έχει η κατάσταση τώρα;

• Όλες οι εκδόσεις PHP που προσφέρουμε, από την 5.2 έως και την 8.5, περιλαμβάνουν τις διορθώσεις ασφαλείας και για τις δύο ευπάθειες.
• Τους ελάχιστους ιστοτόπους που λειτουργούσαν σε ακόμα παλαιότερη έκδοση PHP, για την οποία δεν υπάρχει διόρθωση, τους μεταφέραμε σε μια διορθωμένη έκδοση.
• Ελέγξαμε τους διακομιστές κατά τη διάρκεια και μετά την ευπάθεια για ίχνη κατάχρησης, όπως διεργασίες PHP που κολλούσαν, ύποπτες διεργασίες, μεταφορτωμένα αρχεία και αιτήματα που ταιριάζουν με τη γνωστή επίθεση. Δεν βρήκαμε καμία ένδειξη ότι η ευπάθεια χρησιμοποιήθηκε κακόβουλα στους διακομιστές μας, ούτε εντοπίστηκαν απόπειρες πριν θέσουμε τα πάντα εκτός λειτουργίας.

Είναι ο ιστότοπός μου διαχωρισμένος από αυτούς άλλων;

Ναι. Κάθε πακέτο φιλοξενίας λειτουργεί σε εμάς σε ένα δικό του, απομονωμένο περιβάλλον. Η PHP εκτελείται υπό τον χρήστη του πακέτου σας, χωρίς δικαιώματα διαχειριστή στον διακομιστή, και δεν μπορεί να έχει πρόσβαση στα αρχεία ή τις βάσεις δεδομένων άλλων πελατών. Επίσης, η χρήση επεξεργαστή και μνήμης περιορίζεται ανά πακέτο. Περισσότερες λεπτομέρειες σχετικά με την ασφάλειά μας δεν τις κοινοποιούμε σκόπιμα δημόσια: όσο λιγότερα γνωρίζει ένας επιτιθέμενος, τόσο το καλύτερο.