Μια σημαντική προειδοποίηση ασφαλείας αφορά χιλιάδες websites και ηλεκτρονικά καταστήματα που λειτουργούν με PHP. Στις 21 Οκτωβρίου 2026 η ομάδα ασφάλειας της γλώσσας ανακοίνωσε διορθώσεις για δύο κρίσιμες ευπάθειες, οι οποίες μπορεί υπό ορισμένες συνθήκες να επιτρέψουν απομακρυσμένη εκτέλεση κώδικα χωρίς προηγούμενη σύνδεση χρήστη.
Ποιες είναι οι διορθωμένες εκδόσεις;
Σύμφωνα με την επίσημη ανακοίνωση, οι εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35 περιλαμβάνουν τις διορθώσεις. Οι δύο ευπάθειες έχουν επισημανθεί ως ιδιαίτερα σοβαρές και η σύσταση των υπευθύνων της PHP είναι άμεση αναβάθμιση. Η σειρά PHP 8.2 πλησιάζει επίσης στο τέλος υποστήριξής της, που τοποθετείται στις 31 Δεκεμβρίου 2026.
Η PHP είναι η γλώσσα που εκτελείται στον server πίσω από πολλά συστήματα διαχείρισης περιεχομένου και e-shops. Ο επισκέπτης μπορεί να βλέπει μια κανονική ιστοσελίδα χωρίς να γνωρίζει ποια έκδοση χρησιμοποιεί το μηχάνημα που την εξυπηρετεί.
Γιατί αφορά και το WordPress;
Το WordPress στηρίζεται στην PHP. Αυτό όμως δεν σημαίνει ότι κάθε WordPress ιστοσελίδα είναι εξίσου εκτεθειμένη: ο πραγματικός κίνδυνος εξαρτάται από την έκδοση PHP, τον τρόπο εκτέλεσής της και τη διαμόρφωση του server. Η ανακοίνωση αναφέρεται ρητά σε περιβάλλοντα όπως PHP-FPM, mod_php, php-cgi, FrankenPHP και LiteSpeed, με ιδιαίτερη έμφαση σε ορισμένες διαμορφώσεις.
Η αναβάθμιση του WordPress ή των plugins δεν υποκαθιστά την αναβάθμιση της PHP. Είναι διαφορετικά επίπεδα του συστήματος. Αν ο server παραμένει σε ευάλωτη έκδοση, η ενημέρωση του θέματος ή του WordPress δεν αρκεί για να αντιμετωπίσει τη συγκεκριμένη αιτία.
Τι χρειάζεται να κάνει ο ιδιοκτήτης μιας ιστοσελίδας
- Ελέγχει με τον πάροχο φιλοξενίας ποια έκδοση PHP εκτελεί το site.
- Ρωτά αν έχει εγκατασταθεί η διορθωμένη έκδοση της ίδιας υποστηριζόμενης σειράς ή αν έχει προγραμματιστεί η μετάβαση.
- Ζητά αντίγραφο ασφαλείας και σύντομο έλεγχο συμβατότητας των κρίσιμων plugins, του theme και του checkout, πριν από οποιαδήποτε αλλαγή παραγωγής.
- Μετά την αλλαγή δοκιμάζει φόρμες, σύνδεση χρηστών, e-shop παραγγελίες και τη λειτουργία διαχειριστή.
- Εφόσον χρησιμοποιεί παρωχημένη ή μη υποστηριζόμενη έκδοση, οργανώνει ασφαλή μετάβαση σε υποστηριζόμενη σειρά.
Τι δεν πρέπει να κάνουμε
Δεν αλλάζουμε στα τυφλά ρυθμίσεις server και δεν εγκαθιστούμε πρόχειρα αρχεία από άγνωστες πηγές. Αν υπάρχει διαχειριστής ή εταιρεία hosting, η αναβάθμιση πρέπει να γίνει από εξουσιοδοτημένο άτομο που γνωρίζει τη συγκεκριμένη εγκατάσταση. Αυτός είναι ο σωστός συνδυασμός ασφάλειας και επιχειρησιακής συνέχειας.
Το συμπέρασμα
Η ανακοίνωση αφορά πραγματικά κρίσιμες ευπάθειες στην υποδομή και όχι μια συνηθισμένη ειδοποίηση plugin. Οι διαχειριστές δεν χρειάζεται να πανικοβληθούν, αλλά χρειάζεται να ελέγξουν σήμερα την έκδοση και το σχέδιο ασφαλούς αναβάθμισης του server τους.
Πρωτογενής πηγή: PHP.net, Security advisory 21/10/2026 · WordPress.org News.