Κρίσιμες ενημερώσεις ασφαλείας για PHP και Node.js: τι κάναμε και τι χρειάζεται να κάνετε

Σήμερα, 21 Οκτωβρίου 2026, κυκλοφόρησαν ενημερώσεις ασφαλείας για PHP και Node.js. Οι διορθώσεις της PHP είναι ιδιαίτερα σημαντικές: κλείνουν δύο κρίσιμα κενά που επιτρέπουν σε έναν εισβολέα να εκτελέσει κώδικα σε έναν web server χωρίς να συνδεθεί. Μάλιστα, καταγράφηκαν επιθέσεις πριν ακόμη δημοσιευτεί η διόρθωση.

Το WireBoard έχει ήδη ενημερωθεί. Δεν υπήρξε διακοπή λειτουργίας και δεν χρειάζεται να κάνετε τίποτα στον λογαριασμό σας στο WireBoard ή στο script παρακολούθησης.

Αν όμως ο δικός σας ιστότοπος ή η εφαρμογή σας χρησιμοποιεί PHP ή Node.js, διαβάστε παρακάτω και κάντε την ενημέρωση σήμερα.

Με μια ματιά

• Χρησιμοποιείτε WordPress, Magento, Drupal, Laravel ή κάποια άλλη εφαρμογή PHP; Τότε χρησιμοποιείτε PHP. Κάντε την ενημέρωση τώρα.

• Έχετε κοινόχρηστη ή διαχειριζόμενη φιλοξενία; Τη διόρθωση της PHP την εγκαθιστά ο πάροχός σας. Επιβεβαιώστε ότι το έχει κάνει.

• Μετά την ενημέρωση της PHP, επανεκκινήστε το PHP-FPM ή τον Apache. Διαφορετικά, η παλιά έκδοση συνεχίζει να εκτελείται.

• Χρησιμοποιείτε έκδοση που δεν υποστηρίζεται πλέον (PHP 8.1 ή παλαιότερη, Node.js 25, 23, 20 ή παλαιότερη); Δεν θα λάβετε επίσημη διόρθωση. Προγραμματίστε τη μετάβαση σε υποστηριζόμενη έκδοση.

Τι συνέβη

PHP: «PHP2Shell» (CVE-2026-109618 και CVE-2026-109619)

Η ομάδα της PHP κυκλοφόρησε διορθώσεις για δύο κρίσιμες ευπάθειες, καθεμία με βαθμολογία 9,2 στην κλίμακα CVSS v4.0:

• CVE-2026-109618: απομακρυσμένη εκτέλεση κώδικα μέσω αλλοίωσης μνήμης, όταν εξαντλείται η διαθέσιμη μνήμη της PHP κατά την επεξεργασία ενός αιτήματος.

• CVE-2026-109619: απομακρυσμένη εκτέλεση κώδικα λόγω καθολικής κατάστασης που δεν έχει ενημερωθεί.

Και οι δύο μπορούν να αξιοποιηθούν απομακρυσμένα, χωρίς έλεγχο ταυτότητας, με τις προεπιλεγμένες ρυθμίσεις. Οι λεπτομέρειες διέρρευσαν στο διαδίκτυο μία ημέρα πριν από την προγραμματισμένη κυκλοφορία. Έτσι, εταιρείες ασφαλείας κατέγραψαν επιθέσεις και ανιχνεύσεις σε ιστοτόπους με PHP πριν γίνει διαθέσιμη η διόρθωση. Αρκετές εταιρείες έθεσαν προληπτικά τις υπηρεσίες τους εκτός λειτουργίας μέχρι να μπορέσουν να τις ενημερώσουν.

Επηρεάζονται όλοι οι υποστηριζόμενοι κλάδοι της PHP, στις εκδόσεις πριν από τις 8.2.35, 8.3.36, 8.4.27 και 8.5.12.

Node.js: ενημέρωση ασφαλείας Οκτωβρίου 2026

Το Node.js κυκλοφόρησε διορθώσεις για τους κλάδους 26.x, 24.x και 22.x. Καλύπτουν 10 ευπάθειες, από τις οποίες οι 4 χαρακτηρίζονται υψηλής σοβαρότητας. Οι σημαντικότερες:

• CVE-2026-111497: εγγραφή εκτός ορίων μνήμης στον αποσυμπιεστή Brotli, που θα μπορούσε να επιτρέψει απομακρυσμένη εκτέλεση κώδικα. Η εφαρμογή σας μπορεί να εκτεθεί σε αυτή την ευπάθεια απλώς καλώντας τη fetch() προς έναν server που επιστρέφει δεδομένα συμπιεσμένα με Brotli.

• CVE-2026-105483 / CVE-2026-106069: παράκαμψη της επαλήθευσης ονόματος κεντρικού υπολογιστή στο TLS, με ασυνήθιστους τρόπους γραφής διευθύνσεων IP.

• CVE-2026-105482: η dns.resolve μπορούσε να αναζητήσει διαφορετικό όνομα από αυτό που είχε ελέγξει ο κώδικάς σας.

Τι κάναμε

Εγκαταστήσαμε σήμερα και τις δύο ενημερώσεις σε όλη την υποδομή του WireBoard. Η διαδικασία ολοκληρώθηκε χωρίς διακοπή λειτουργίας και χωρίς να επηρεαστούν δεδομένα. Για εσάς, η χρήση του WireBoard παραμένει ακριβώς η ίδια.

Σας αφορά;

Χρειάζεται να ενεργήσετε αν ο δικός σας ιστότοπος, η εφαρμογή ή ο server χρησιμοποιεί:

• PHP, είτε απευθείας είτε μέσω CMS ή framework όπως WordPress, WooCommerce, Magento, Drupal, Joomla, Laravel ή Symfony.

• Node.js, για παράδειγμα σε εφαρμογή Next.js, Nuxt, Express ή NestJS, ή σε οποιαδήποτε υπηρεσία backend ή server για builds που εκτελεί Node.

Δεν γνωρίζετε; Ρωτήστε τον προγραμματιστή ή τον πάροχο φιλοξενίας σας. Αρκεί μια απλή ερώτηση: «Ο ιστότοπός μας χρησιμοποιεί PHP ή Node.js; Έχει εγκατασταθεί η σημερινή ενημέρωση ασφαλείας;»

Πώς θα ελέγξετε την έκδοσή σας

PHP

Αυτό που μετράει είναι η έκδοση που χρησιμοποιεί ο web server σας. Η εντολή php -v στο τερματικό δείχνει την έκδοση της PHP στη γραμμή εντολών, η οποία μπορεί να διαφέρει.

1. Δημιουργήστε ένα αρχείο με όνομα info.php στον ριζικό κατάλογο του ιστοτόπου σας, με περιεχόμενο <?php phpinfo();

2. Ανοίξτε το στον browser και δείτε την ένδειξη PHP Version στο επάνω μέρος.

3. Διαγράψτε το αρχείο αμέσως μετά: αποκαλύπτει όλες τις ρυθμίσεις του server σας.

Πολλοί πίνακες ελέγχου φιλοξενίας (cPanel, Plesk κ.ά.) εμφανίζουν επίσης την έκδοση της PHP.

Για τα πακέτα των διανομών Linux: Οι Ubuntu, Debian, RHEL και άλλες διανομές συχνά ενσωματώνουν τη διόρθωση σε παλαιότερες εκδόσεις χωρίς να αλλάζουν τον αριθμό έκδοσης. Σε αυτή την περίπτωση, αναζητήστε τους κωδικούς CVE στο ιστορικό αλλαγών του πακέτου (δείτε παρακάτω).

Node.js

node -v

Η διόρθωση έχει εγκατασταθεί αν εμφανίζεται v26.12.1, v24.22.1, v22.23.4 ή νεότερη έκδοση του ίδιου κλάδου.

Πώς θα ενημερώσετε την PHP

Ακολουθήστε τις οδηγίες που αντιστοιχούν στον τρόπο εγκατάστασης της PHP στον server σας.

Κοινόχρηστη ή διαχειριζόμενη φιλοξενία

Ο πάροχός σας διαχειρίζεται την PHP και εγκαθιστά τη διόρθωση. Ελέγξτε τη σελίδα κατάστασης υπηρεσιών ή τις ανακοινώσεις του και στη συνέχεια επιβεβαιώστε την έκδοση με τη phpinfo(), όπως περιγράφεται παραπάνω. Αν ο πίνακας ελέγχου σάς επιτρέπει να επιλέξετε έκδοση PHP και χρησιμοποιείτε την 8.1 ή παλαιότερη, περάστε στην 8.2 ή νεότερη. Πρώτα βεβαιωθείτε ότι την υποστηρίζουν το CMS και τα πρόσθετά σας.

Ubuntu / Debian

sudo apt update
# replace 8.3 with the PHP branch you use
sudo apt install --only-upgrade 'php8.3-*'

# confirm the fix is included
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)'

Αν η τελευταία εντολή δεν εμφανίσει τίποτα, η διόρθωση δεν έχει φτάσει ακόμη στο αποθετήριο της διανομής σας. Ελέγξτε τις ανακοινώσεις ασφαλείας του Ubuntu ή το Debian Security Tracker και δοκιμάστε ξανά αργότερα. Αν χρησιμοποιείτε τα πακέτα PHP του Ondřej Surý, κάντε την ενημέρωση από το συγκεκριμένο αποθετήριο με τον ίδιο τρόπο.

RHEL / AlmaLinux / Rocky Linux

dnf module list php          # see which PHP stream you're on
sudo dnf upgrade 'php*'

# confirm the fix is included
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)'

Αν χρησιμοποιείτε το αποθετήριο Remi, κάντε την ενημέρωση από εκεί.

Docker

Η λήψη ενός νέου image δεν ενημερώνει τα containers που ήδη εκτελούνται. Κατεβάστε το image, κάντε ξανά build και δημιουργήστε εκ νέου τα containers:

docker pull php:8.3-fpm        # use your tag
docker compose build --pull
docker compose up -d

Για μεγαλύτερη σιγουριά, ορίστε ρητά τη διορθωμένη έκδοση στο Dockerfile σας (για παράδειγμα FROM php:8.3.36-fpm).

Εγκατάσταση από πηγαίο κώδικα ή σε Windows

Κατεβάστε τη διορθωμένη έκδοση από το php.net/downloads.

Στη συνέχεια, επανεκκινήστε την PHP

Αυτό το βήμα ξεχνιέται εύκολα. Οι διεργασίες που ήδη εκτελούνται συνεχίζουν να χρησιμοποιούν την παλιά PHP μέχρι να επανεκκινηθούν:

# PHP-FPM (Debian/Ubuntu; replace 8.3 with your branch)
sudo systemctl restart php8.3-fpm

# PHP-FPM (RHEL family)
sudo systemctl restart php-fpm

# Apache with mod_php
sudo systemctl restart apache2   # or httpd on RHEL

Έπειτα ελέγξτε ξανά τη phpinfo() για να βεβαιωθείτε ότι χρησιμοποιείται η νέα έκδοση.

«Αρκεί να αλλάξω κάποια ρύθμιση;»

Όχι. Αρχικά κυκλοφόρησαν ορισμένες προσωρινές λύσεις, όπως η απενεργοποίηση της session.upload_progress.enabled. Αυτές απλώς μειώνουν τον κίνδυνο. Μέλος της βασικής ομάδας ανάπτυξης της PHP δήλωσε δημόσια ότι η ενημέρωση της PHP είναι η μόνη ουσιαστική αντιμετώπιση. Αν έχετε εφαρμόσει κάποια προσωρινή λύση, διατηρήστε τη μέχρι να κάνετε την ενημέρωση. Μην παραλείψετε όμως την ενημέρωση.

Πώς θα ενημερώσετε το Node.js

Μετά την ενημέρωση, επανεκκινήστε την εφαρμογή σας (ή κάντε νέο deploy) και επιβεβαιώστε την έκδοση με node -v.

Αν χρησιμοποιείτε έκδοση που δεν υποστηρίζεται πλέον

Επίσημες διορθώσεις κυκλοφορούν μόνο για τις υποστηριζόμενες εκδόσεις:

• PHP: 8.2, 8.3, 8.4 και 8.5. Για την PHP 8.1 και τις παλαιότερες δεν κυκλοφορούν επίσημες διορθώσεις. Ορισμένες διανομές Linux και πάροχοι επί πληρωμή μακροχρόνιας υποστήριξης μεταφέρουν τις διορθώσεις σε παλαιότερες εκδόσεις. Ελέγξτε τι ισχύει στη δική σας περίπτωση. Διαφορετικά, η ασφαλής επιλογή είναι η αναβάθμιση σε υποστηριζόμενο κλάδο. Η PHP 8.2 θα λαμβάνει διορθώσεις ασφαλείας μόνο μέχρι τις 31 Δεκεμβρίου 2026.

• Node.js: 22.x, 24.x και 26.x. Κλάδοι όπως οι 25, 23 και 20 δεν υποστηρίζονται πλέον και δεν θα λάβουν διόρθωση.

Αν δεν μπορείτε να αναβαθμίσετε αμέσως, εξετάστε τη χρήση τείχους προστασίας εφαρμογών ιστού (WAF) μπροστά από τον ιστότοπο ή περιορίστε την πρόσβαση μέχρι να ολοκληρώσετε την αναβάθμιση.

Περισσότερες πληροφορίες

Επίσημες ανακοινώσεις ασφαλείας

• Νέα της PHP και ανακοινώσεις εκδόσεων

• Ανακοίνωση ασφαλείας PHP GHSA-w8hw-w9fx-j79w (CVE-2026-109618)

• Ανακοίνωση ασφαλείας PHP GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)

• Υποστηριζόμενες εκδόσεις PHP

• Node.js: ενημερώσεις ασφαλείας της Τετάρτης 21 Οκτωβρίου 2026

Χρήσιμοι οδηγοί

• GoDaddy: Σημαντική ενημέρωση ασφαλείας PHP, τι πρέπει να κάνουν οι ιδιοκτήτες ιστοτόπων (επισκόπηση με απλά λόγια)

• Help Net Security: Διορθώθηκε το PHP2Shell, κάντε την ενημέρωση τώρα

• ma.ttias.be: Πώς θα εγκαταστήσετε τις διορθώσεις της PHP (διαθεσιμότητα ανά διανομή)

• Lilting: Ανάλυση των διορθώσεων του Node.js για τον Οκτώβριο του 2026 (αναλυτική τεχνική παρουσίαση)