Ανάλυση των κρίσιμων ευπαθειών
Η πρόσφατη ανακοίνωση της ομάδας ασφαλείας της PHP αναδεικνύει δύο σοβαρά ζητήματα που θέτουν σε κίνδυνο την ακεραιότητα των συστημάτων. Το πρώτο ζήτημα, CVE-2026-109618, προκύπτει από λανθασμένο χειρισμό καταστάσεων έλλειψης μνήμης (Out-of-Memory), όπου η διαδικασία καθαρισμού ενός αιτήματος μπορεί να επεξεργαστεί μη αρχικοποιημένα δεδομένα ως έγκυρα. Το δεύτερο, CVE-2026-109619, αφορά τη διατήρηση εσωτερικής κατάστασης (internal state) στη μνήμη, η οποία παραμένει ενεργή μετά την αποδέσμευσή της, επιτρέποντας σε επόμενα αιτήματα να εκμεταλλευτούν αυτά τα δεδομένα.
Επιπτώσεις και κίνδυνοι για την υποδομή
Ο κίνδυνος θεωρείται μέγιστος για υλοποιήσεις τύπου mod_php, όπου ένας επιτιθέμενος μπορεί να ενεργοποιήσει το exploit πριν καν εκτελεστεί ο κώδικας της εφαρμογής. Η ομάδα ασφαλείας τονίζει ότι οι προσωρινές ρυθμίσεις (όπως ο περιορισμός του post_max_size ή η απενεργοποίηση του session.upload_progress) αποτελούν μόνο μερικό μετριασμό και δεν υποκαθιστούν την αναβάθμιση του runtime.
Στρατηγική αναβάθμισης
Οι διαχειριστές συστημάτων οφείλουν να προχωρήσουν άμεσα στην αναβάθμιση στις εκδόσεις 8.5.12, 8.4.27, 8.3.36 ή 8.2.35. Για παλαιότερες εκδόσεις που δεν υποστηρίζονται πλέον επίσημα (όπως η 8.1 και παλαιότερες), η ομάδα έχει παρέχει ελάχιστα backports για όσους πραγματοποιούν μεταγλώττιση (compilation) από τον πηγαίο κώδικα. Συνιστάται η αποφυγή χρήσης τρίτων αποθετηρίων (repositories) που ενδέχεται να καθυστερήσουν την εφαρμογή των patches και η προτίμηση των επίσημων πακέτων της διανομής ή του source build.