Κυβερνήσεις και οργανισμοί σε όλο τον κόσμο προέτρεψαν τους ιστότοπους να αντιμετωπίσουν δύο κρίσιμα κενά κυβερνοασφάλειας σε μια γλώσσα προγραμματισμού που τροφοδοτεί μεγάλο μέρος του διαδικτύου.
Τα τρωτά σημεία εντοπίστηκαν στη γλώσσα προγραμματισμού PHP, με τη σχετική διόρθωση (patch) να εκδίδεται το απόγευμα της Τετάρτης (21/10).
Πολλαπλές υπηρεσίες κυβερνοασφάλειας προέτρεψαν τους οργανισμούς που αδυνατούν να εφαρμόσουν τις διορθώσεις εγκαίρως να εξετάσουν το ενδεχόμενο να «κατεβάσουν» τους ιστότοπούς τους, οδηγώντας φορείς όπως η φινλανδική κυβέρνηση, το δημοτικό συμβούλιο του Εδιμβούργου και το BBC να θέσουν σελίδες εκτός λειτουργίας.
Τα σφάλματα ανακαλύφθηκαν από Τεχνητή Νοημοσύνη (AI), με την εταιρεία κυβερνοασφάλειας Wiz να δηλώνει ότι επρόκειτο για τις «σοβαρότερες ευπάθειες που έχουν ανακαλυφθεί ποτέ» από την τεχνολογία αυτή, η οποία αναδιαμορφώνει το τοπίο της κυβερνοασφάλειας.
Η Φινλανδία έκλεισε προσωρινά τις δημόσιες διαδικτυακές υπηρεσίες της κυβέρνησης, ενώ η υπηρεσία κυβερνοασφάλειας της Ολλανδίας δήλωσε ότι θέτει τον δικό της ιστότοπο εκτός λειτουργίας λόγω των ευπαθειών.
Η Υπηρεσία Εθνικής Ασφαλείας των ΗΠΑ (NSA) εξέδωσε παρόμοια σύσταση στο X, προτρέποντας τους οργανισμούς να θέσουν τα συστήματά τους εκτός σύνδεσης εάν αδυνατούν να τα ενημερώσουν με τη διόρθωση.
Διαβάστε Επίσης
«Αυτές οι ευπάθειες συχνά παρέχουν μια άμεση διαδρομή προς το σύστημα αρχείων ή τη βάση δεδομένων του διακομιστή», έγραψε.
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server’s file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.
— NSA Cyber (@NSACyber) October 21, 2026
Εν τω μεταξύ, ο Λευκός Οίκος δήλωσε ότι οι ομοσπονδιακές υπηρεσίες συνεργάζονται με κορυφαία εργαστήρια τεχνητής νοημοσύνης για την επιτάχυνση μιας διόρθωσης στο ζήτημα.
Σε ανάρτησή της στο X, η πρωθυπουργός της Ιαπωνίας Σαναέ Τακαΐτσι προέτρεψε τους πολίτες να ελέγξουν εάν οι δημόσια διαθέσιμοι ιστότοποί τους βασίζονται στην PHP.
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X— 高市早苗 (@takaichi_sanae) October 21, 2026
Το Ίδρυμα Wikimedia, το οποίο διαχειρίζεται την διαδικτυακή εγκυκλοπαίδεια Βικιπαίδεια (Wikipedia), δήλωσε ότι αντιμετωπίζει τις ευπάθειες ασφαλείας. «Έχουμε θέσει εκτός λειτουργίας μια σειρά από άλλα συστήματα ως προληπτικό μέτρο, έως ότου διορθωθούν με ασφάλεια», ανέφερε.
Αυτό είχε ως αποτέλεσμα ορισμένοι χρήστες να μην μπορούν να αποκτήσουν πρόσβαση σε τμήματα της Βικιπαίδειας.
«Σχεδόν το 70%» του διαδικτύου
Οι ευπάθειες ανακαλύφθηκαν από ερευνητές κυβερνοασφάλειας στις εταιρείες Calif και Wiz. Χρησιμοποίησαν τεχνολογία αιχμής AI, που δημιουργήθηκε από την OpenAI, για να βρουν τα σφάλματα.
Η OpenAI δήλωσε σε ανάρτηση στο ιστολόγιό της ότι πρόκειται για «ένα από τα πιο επιδραστικά ζητήματα ασφάλειας στη πρόσφατη μνήμη».
OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites.
Over the past two months, we led a coalition of maintainers, researchers, and security providers to prepare fixes and protections ahead of disclosure. This duration was necessary because the fix was quite intricate and required a major change to the PHP engine. Every site using PHP can now safely upgrade their version to stay secure, in addition to applying mitigations from various security vendors.
Due to the severity of these flaws and PHP’s widespread use, we consider this bug to be one of the most impactful vulnerabilities in recent memory. It also marks a new phase, where AI can find security bugs with internet-scale impact.
This is an example of the Defender’s Window in action: to our knowledge, frontier AI was able to find this vulnerability ahead of attackers, giving defenders time to prepare.
https://t.co/TW3jrSbB3f— OpenAI (@OpenAI) October 21, 2026
Σύμφωνα με τις εταιρείες, τα κενά παρέμεναν ανεντόπιστα για περισσότερο από μία δεκαετία.
«Τα μοντέλα αιχμής (frontier models) ήταν καθοριστικής σημασίας για να γίνει αυτή η διαδικασία πρακτικά εφικτή, επιτρέποντάς μας να αναπτύξουμε και να προσαρμόσουμε λειτουργικά exploits σε πολλαπλές εφαρμογές μέσα σε λίγες ώρες», ανέφερε η Wiz.
Εκτιμάται ότι επηρεάζεται «σχεδόν το 70%» του διαδικτύου.
Το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου (NCSC), καθώς και τα αντίστοιχα όργανα στην ΕΕ και την Αυστραλία, προέτρεψαν όσους χρησιμοποιούν PHP να εφαρμόσουν τις διορθώσεις.
«Όπου η άμεση αποκατάσταση δεν είναι εφικτή, οι οργανισμοί θα πρέπει να εξετάσουν το ενδεχόμενο να θέσουν το σύστημα εκτός σύνδεσης έως ότου μπορέσει να αντιμετωπιστεί πλήρως ο κίνδυνος», ανέφερε το NCSC σε σημείωμά του.
Τι είναι η PHP
Η PHP είναι μια γλώσσα προγραμματισμού που εκτελεί ιστότοπους. Εργάζεται στο παρασκήνιο. Όταν ένας χρήστης φορτώνει μια σελίδα, ο διακομιστής που εκτελεί την PHP συναρμολογεί το περιεχόμενο και στέλνει την έτοιμη σελίδα στον περιηγητή.
Είναι δωρεάν, ανοιχτού κώδικα και συντηρείται από εθελοντές. Οι ιδιοκτήτες ιστότοπων σπάνια αλληλεπιδρούν άμεσα μαζί της.
Η PHP τροφοδοτεί σχεδόν το 70% όλων των ιστότοπων των οποίων η γλώσσα προγραμματισμού μπορεί να αναγνωριστεί, σύμφωνα με την εταιρεία παρακολούθησης τεχνολογιών web W3Techs. Είναι η κινητήρια δύναμη πίσω από το WordPress, το λογισμικό που τροφοδοτεί περίπου το 40% όλων των ιστότοπων, όπως ιστολόγια, σελίδες μικρών επιχειρήσεων, κυβερνητικές πύλες, ηλεκτρονικά καταστήματα και ειδησεογραφικούς ιστότοπους.
Ποιοι είναι οι κίνδυνοι
Οι δύο ευπάθειες αξιολογούνται με 9,2 στα 10 στην κλίμακα σοβαρότητας CVSS v4.0, ένα τυπικό σύστημα βαθμολόγησης της βιομηχανίας. Η CERT-EU, η ομάδα αντιμετώπισης κυβερνοαπειλών της Ευρωπαϊκής Ένωσης, δήλωσε ότι αυτή η βαθμολογία υποδηλώνει απομακρυσμένη εκτέλεση κώδικα χωρίς αυθεντικοποίηση, δηλαδή ένας εισβολέας μπορεί να εκτελέσει εντολές σε έναν ευάλωτο διακομιστή, μέσω του διαδικτύου, χωρίς κωδικό πρόσβασης ή λογαριασμό.
Ένα μόνο σφάλμα στην PHP ανοίγει την ίδια πόρτα σε εκατομμύρια διακομιστές ταυτόχρονα. Όποιος εκμεταλλεύεται το σφάλμα ελέγχει τον ιστότοπο. Η GoDaddy, πάροχος φιλοξενίας ιστοσελίδων, δήλωσε ότι αυτό θα μπορούσε να σημαίνει κλεμμένα δεδομένα, παραμορφωμένες σελίδες ή πλήρη παραβίαση του συστήματος. Ο τεχνικός διευθυντής της Cloudflare δήλωσε ότι εμφανίζονταν ήδη οι πρώτες επιθέσεις.
Οι περισσότεροι μικροί ιστότοποι συνήθως διαχειρίζονται από ιδιοκτήτες χωρίς προσωπικό ασφαλείας, συχνά σε κοινόχρηστη φιλοξενία όπου δεν διαχειρίζονται οι ίδιοι τον διακομιστή και ενδέχεται να μην γνωρίζουν ποιος ενημερώνει την PHP. Το Wordfence, ένα πρόσθετο ασφαλείας για ιστότοπους WordPress, προειδοποίησε σύμφωνα με το Reuters ότι οι σύνηθες αυτόματες ενημερώσεις δεν θα εφαρμόσουν αυτή τη διόρθωση. Η οδηγία της CERT-EU είναι να τεθούν οι επηρεαζόμενοι ιστότοποι εκτός σύνδεσης αντί να αφεθούν εκτεθειμένοι.
Πώς εντοπίστηκε το κενό ασφαλείας
Ερευνητές στην εταιρεία ασφαλείας Calif, συνεργαζόμενοι με την OpenAI, ανέφεραν το πρώτο σφάλμα στην PHP στις 11 Αυγούστου αφού το βρήκαν με το μοντέλο GPT-5.6 Sol της OpenAI, ανέφερε η εταιρεία. Η Wiz, εταιρεία ασφαλείας που ανήκει στην Alphabet (Google), βρήκε τις ευπάθειες ανεξάρτητα και ανέφερε μια δεύτερη στις 24 Αυγούστου, επίσης χρησιμοποιώντας μοντέλα AI.
Η Wiz δήλωσε ότι τα ευρήματα «κατατάσσονται μεταξύ των σοβαρότερων ευπαθειών που ανακαλύφθηκαν στην PHP, και πιθανώς στην ιστορία του λογισμικού». Τα υποκείμενα σφάλματα υπήρχαν για δεκαετίες, ανέφερε η εταιρεία, αλλά η απόδειξη ότι ήταν εκμεταλλεύσιμα απαιτούσε μια αλυσίδα βημάτων «στα όρια αυτού που θα μπορούσαν πρακτικά να επιτύχουν οι ανθρώπινοι ερευνητές».
