Η NSA προειδοποιεί για δύο σοβαρές ευπάθειες στο PHP και καλεί σε άμεσες ενημερώσεις

Η Υπηρεσία Εθνικής Ασφαλείας των ΗΠΑ (NSA) προειδοποίησε για δύο σοβαρές ευπάθειες στη γλώσσα προγραμματισμού PHP που ενδέχεται να επιτρέψουν σε επιτιθέμενους την απομακρυσμένη εκτέλεση εντολών και τον έλεγχο διακομιστών ιστοτόπων και εφαρμογών, σύμφωνα με έκθεση που παρακολούθησε το Πρακτορείο Ειδήσεων του Ιράκ.

Η προειδοποίηση εκδόθηκε την Τετάρτη και προσδιόρισε τις ευπάθειες με τους κωδικούς (CVE-2026-109618) και (CVE-2026-109619), με αξιολόγηση σοβαρότητας 9.2 στα 10, τονίζοντας ότι ο κίνδυνος βρίσκεται στη γλώσσα PHP καθαυτή και όχι σε συγκεκριμένα πρόσθετα ή συστήματα διαχείρισης περιεχομένου.

Η έκθεση προειδοποιεί ότι η εκμετάλλευση των ευπαθειών μπορεί να οδηγήσει σε πρόσβαση σε ευαίσθητα δεδομένα όπως κωδικοί πρόσβασης, διαπιστευτήρια (tokens) και κλειδιά διεπαφών προγραμματισμού (API), καθώς και στην αλλοίωση περιεχομένου ιστοτόπων και στην πρόσβαση σε πληροφορίες χρηστών.

Δοκιμές ασφάλειας έδειξαν ότι οι δύο ευπάθειες μπορούν να εκμεταλλευτούν σε περιβάλλοντα λειτουργίας που χρησιμοποιούν συστήματα διαχείρισης περιεχομένου όπως το WordPress, το Drupal και το Joomla, παρόλο που οι ευπάθειες δεν βρίσκονται στα ίδια αυτά συστήματα αλλά στη γλώσσα προγραμματισμού στην οποία βασίζονται.

Σύμφωνα με την έκθεση, η ανακάλυψη των ευπαθειών έγινε με τη συμμετοχή εξειδικευμένων ερευνητικών ομάδων, μεταξύ των οποίων οι εταιρείες Κάλιφ και Ουίζ, και σε συνεργασία με την ομάδα ανάπτυξης του PHP και την εταιρεία OpenAI, επισημαίνοντας ότι εργαλεία τεχνητής νοημοσύνης συνέβαλαν στην ανάλυση σφαλμάτων κώδικα και στον εντοπισμό διαδρομών εκμετάλλευσής τους.

Προσθέτει ότι ορισμένα από τα σφάλματα που προκάλεσαν τις δύο ευπάθειες χρονολογούνται πάνω από δέκα χρόνια, αλλά η πολυπλοκότητα της εκμετάλλευσής τους εμπόδισε τον εντοπισμό της σοβαρότητάς τους νωρίτερα.

Η ομάδα ανάπτυξης του PHP εξέδωσε επείγουσες ενημερώσεις ασφαλείας για την αντιμετώπιση των ευπαθειών, που περιλαμβάνουν τις εκδόσεις (8.5.12), (8.4.27), (8.3.36) και (8.2.35), και η έκθεση κάλεσε οργανισμούς και διαχειριστές ιστοτόπων να εγκαταστήσουν άμεσα αυτές τις ενημερώσεις, προειδοποιώντας ότι τα προσωρινά προληπτικά μέτρα δεν παρέχουν πλήρη προστασία.