PHP2Shell: Η AI βρήκε το bug

Το χρονικό μιας κατάρρευσης: από τη «σπίθα» στην παγκόσμια καταιγίδα

Πώς μία έρευνα ενός συστήματος τεχνητής νοημοσύνης εξελίχθηκε σε μία από τις πιο επικίνδυνες καταστάσεις που έχει δει το ανοιχτό web — μέσα σε λιγότερο από δύο ημέρες. Δεν είναι ιστορία ενός bug. Είναι ιστορία ενός μοτίβου που αλλάζει για πάντα τον τρόπο που σπάει (και φτιάχνεται) το διαδίκτυο.

1.1 — Η σπίθα: μια μηχανή που διάβασε τη μνήμη της PHP

Η ιστορία δεν ξεκινά με χάκερ σε σκοτεινό δωμάτιο, ούτε με ένα τυχαίο fuzzing run σε ένα datacenter κάπου στη Σιλουέτα. Ξεκινά με κάτι πολύ πιο ανησυχητικό: ένα σύστημα τεχνητής νοημοσύνης προγραμματισμένο να κυνηγάει software bugs — έναν AI bug-hunter — που, σύμφωνα με την αποκάλυψη του Wall Street Journal, εντόπισε μια βαθιά, ανελέητα τεχνική αδυναμία στον τρόπο που η PHP διαχειρίζεται τη μνήμη της όταν «πνίγεται».

Η PHP τροφοδοτεί, κατά τις πιο συντηρητικές εκτιμήσεις, κάπου κοντά στο 70% των ιστοσελίδων του κόσμου — από τα απλούστερα προσωπικά blog έως τεράστια τμήματα του παγκόσμιου e-commerce, ολόκληρο το WordPress οικοσύστημα, πανεπιστημιακά portals, δημόσιες υπηρεσίες και εκατομμύρια API backends. Το «70%» δεν είναι διαφημιστική φιγούρα: είναι το μερίδιο των servers που εκτελούν PHP κάπου στη στοίβα τους, έστω και ως εξάρτηση. Όταν ένα RCE bug αφορά όλες τις υποστηριζόμενες εκδόσεις PHP — από την αρχαιολογική 5.4 έως τη σύγχρονη 8.5 — τότε δεν μιλάμε πια για «ακόμα ένα CVE». Μιλάμε για κρίσιμη υποδομή του διαδικτύου που τρίζει από μέσα.

«AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk» — ο τίτλος του Wall Street Journal που έβαλε φωτιά στο διαδίκτυο.— The Wall Street Journal, Οκτώβριος 2026

Η ερώτηση που έμεινε να αιωρείται — και που αξίζει να τη θυμόμαστε όταν θα γράφουμε τα βιβλία για το 2026 — είναι απλή και τρομακτική ταυτόχρονα: τι γίνεται όταν η ίδια τεχνολογία που επιταχύνει την ανακάλυψη bugs μπορεί, στα λάθος χέρια, να επιταχύνει εξίσου την εκμετάλλευσή τους; Αυτή η ερώτηση δεν έμεινε θεωρητική ούτε μία μέρα. Στην πραγματικότητα, δεν έμεινε θεωρητική ούτε λίγες ώρες.

1.2 — Η αποκάλυψη: δύο CVEs, μία οικογένεια, ένα όνομα: PHP2Shell

Η αποκάλυψη έγινε με το κλασικό, συντονισμένο μοντέλο disclosure: οι ερευνητές ειδοποίησαν τους maintainers της PHP, ακολούθησαν emergency patches για όλες τις branches και μέσα σε λίγες ώρες οι πρώτες βαθιές τεχνικές αναλύσεις βγήκαν στη δημοσιότητα από τη Huntress, τη Recorded Future και την Aikido Security. Το ψευδώνυμο που κόλλησε αμέσως — PHP2Shell — αφηγείται όλο το δράμα σε τέσσερις συλλαβές: από PHP σε shell, απευθείας, χωρίς κανέναν έλεγχο ταυτότητας.

Δύο λόγοι έκαναν την αποκάλυψη να «σκάσει» δημόσια, με τρόπο που σπάνια έχουμε δει:

• Το εύρος των εκδόσεων. Δεν επηρεάζεται η «τελευταία έκδοση» ή η «κάποια παλιά». Επηρεάζεται το εύρος 5.4 έως 8.5 — δηλαδή ουσιαστικά κάθε PHP deployment που δεν ενημερώθηκε μέσα στις πρώτες ώρες. Οι παλαιότερες εκδόσεις, άχρηστες εδώ και χρόνια, αποτέλεσαν χαμηλόφραγμους στόχους για μαζικές σkanes.
• Ο τύπος του bug. Δεν πρόκειται για exotic edge case σε μία συγκεκριμένη επέκταση. Είναι memory-safety βλάβη στον πυρήνα της επεξεργασίας των requests — το είδος του bug που, όταν το περιγράφεις σε έναν sysadmin, τον ακούς να παίρνει βαθιά αναπνοή πριν απαντήσει.

Ένδειξη της σοβαρότητας: μέσα στην ίδια ημέρα, το περιστατικό απέκτησε δικό του λήμμα στη Wikipedia — κάτι που συμβαίνει μόνο όταν ένα vulnerability αποκτά «θεσμικό» καθεστώς, στο ύφος των Log4Shell και Heartbleed. Το YouTube γέμισε explainer βίντεο «PHP2Shell σε 10 λεπτά», και κάθε σεβαστή εταιρεία ασφαλείας έβγαλε δικό της detection script ή free scanner. Η αγορά απάντησε με ταχύτητα που είχαμε καιρό να δούμε — γιατί όλοι κατάλαβαν ότι ο χρόνος μετράει αντίστροφα.

1.3 — Το PoC διαρρέει: από το lab στο Exploit-DB σε μία νύχτα

Εδώ βρίσκεται η πραγματική τραγωδία σε τρεις πράξεις. Πρώτη πράξη: το bug αποκαλύπτεται. Δεύτερη: τα patches κυκλοφορούν. Τρίτη: ο κώδικας εκμετάλλευσης διαρρέει — όπως πάντα, σε τέτοιες κλίμακες. Στο Exploit-DB ανέβηκε το #52704: μια λειτουργική υλοποίηση του PHP2Shell RCE, κατηγοριοποιημένη, με remote identifier, έτοιμη για «δοκιμή» από οποιονδήποτε έχει browser και κακές προθέσεις. Παράλληλα, στο GitHub ξεπήδηξαν μέσα σε ώρες repositories με PoC κώδικα και εργαλεία — άλλα για άμυνα (detection και patching helpers, όπως τα php2shell-php και php2shell) και άλλα καθαρά offensive, δημόσια, forκheable, με τον κώδικα σε πλήρη θέα.

Από εκεί και πέρα, η καμπύλη ήταν κάθετη. Το FBI εξέδωσε προειδοποίηση, εθνικά CERTs κύλησαν συναγερμούς, και τα telemetry δίκτυα κατέγραψαν εκατομμύρια απόπειρες εκμετάλλευσης ενάντια σε PHP servers — σκάνες αυτοματοποιημένες, μαζικές, αδιάκριτες: ό,τι βρουν με PHP στη στοίβα, το χτυπούν. Η παράμετρος που κάνει εδώ τη διαφορά δεν είναι η εφευρετικότητα των επιτιθέμενων· είναι το κόστος τους: σχεδόν μηδέν. Όταν το exploit είναι δημόσιο και ο στόχος είναι το 70% του web, το επιθετικό μοντέλο γίνεται ψέμα απλό: σάρωση σε βάθος, αυτόματη εκτέλεση, κέρδος σε κάθε τρίτο host.

1.4 — Η καταιγίδα: όταν το «σχεδόν» δεν παρηγορεί κανέναν

Η κάλυψη συνοψίσε το κλίμα με έναν τίτλο που θα μείνει: «Two critical PHP bugs nearly disrupted the web» — δύο κρίσιμα bugs που σχεδόν προκάλεσαν γενικό disruption του web. Το «σχεδόν» κρέμεται από το τι έκανε η παγκόσμια κοινότητα: ενημέρωσε, χωρίς να ρωτήσει πολλά, ταυτόχρονα και μαζικά. Την ίδια στιγμή, βρετανικές κυβερνητικές υπηρεσίες κατέγραψαν επιπτώσεις από την ενεργό εκμετάλλευση, επιχειρησιακοί πάροχοι έκαναν emergency maintenance σε όλη τη γραμμή, και τα hosting panels γέμισαν κόκκινες ειδοποιήσεις: «Απαιτείται άμεση ενημέρωση PHP».

Το πιο ανησυχητικό στοιχείο δεν είναι η ποσότητα των επιθέσεων — μαζικές σκάνες βλέπουμε συνέχεια. Είναι η ποιότητα: αναφορές για στόχευση σε υψηλής αξίας υποδομές — government, financial, hosting panels — από δράστες που φαίνεται να είχαν έτοιμο exploit πριν η αγορά προλάβει να το ονομάσει, πόσο μάλλον να το ταξινομήσει. Το μοτίβο «η AI βρίσκει, οι hackers ανοίγουν» δεν είναι πια επιστημονική φαντασία· είναι ο υπότιτλος αυτής της κρίσης.

1.5 — Σήμερα, 24 Οκτωβρίου: τρίτο bug στην ίδια οικογένεια

Και ενώ όλοι κρατούσαν την ανάσα περιμένοντας την επιβεβαίωση ότι η θύελλα πέρασε, σήμερα ήρθε η είδηση που δεν ήθελε κανείς: εντοπίστηκε τρίτο, συγγενικό flaw στην ίδια τεχνική οικογένεια — ένα ακόμα memory-safety πρόβλημα στην ίδια επικράτεια κώδικα, ίδιου τύπου, με πιθανώς παρόμοια σοβαρότητα. Οι maintainers της PHP δουλεύουν πάνω σε νέα ενημέρωση και οι ερευνητές μιλούν πλέον για «οικογένεια φλαφ» και όχι για μεμονωμένο περιστατικό. Αυτό αλλάζει εντελώς τη στρατηγική άμυνας: όταν η ίδια λογική λαθούς συνεχίζει να αποδίδει, περιμένουμε περισσότερα — και η προστασία δεν κλείνει με το επόμενο patch.

Ανατομία του PHP2Shell: από το heap μέχρι το shell, για ανθρώπους

Πώς ακριβώς ένα «λάθος σε υπολογιστή» γίνεται πλήρης έλεγχος του server σου. Χωρίς διπλωματική προϋπόθεση — αλλά με τον απαραίτητο βάθος για να καταλάβεις τι πραγματικά χτυπιέται, γιατί οι WAF δεν σου σώζουν τη ζωή και πώς θα δεις αν σε έχουν ήδη χτυπήσει.

2.1 — Memory safety 101: τι είναι το use-after-free και γιατί είναι θάνατος

Για να καταλάβεις το PHP2Shell χρειάζεσαι μία μόνο έννοια: heap use-after-free (UAF). Φαντάσου το heap της διεργασίας ως έναν κοιτώνα με άπειρα δωμάτια. Όταν ο κώδικας χρειάζεται μνήμη, νοικιάζει ένα δωμάτιο. Όταν τελειώσει, το «ελευθερώνει» — αλλά ο δείκτης (η διεύθυνση) προς το δωμάτιο μπορεί να παραμείνει κάπου γραμμένος, σαν κλειδί που ξέχασες στην πόρτα. Αν αργότερα κάποιος άλλος νοικιάσει το ίδιο δωμάτιο και εσύ μπεις με το παλιό σου κλειδί, μπαίνεις στα δεδομένα κάποιου άλλου.

Σε μια γλώσσα όπως η C — στην οποία είναι γραμμένος ο πυρήνας της PHP — αυτό δεν είναι απλώς bug, είναι τρόπος να μετατρέψεις ένα σφάλμα σε πλήρη έλεγχο της διεργασίας. Ο επιτιθέμενος «καλλιεργεί» το heap: γεμίζει τον κοιτώνα με δικά του αντικείμενα (heap grooming), ώστε όταν η ελαττωματική συνάρτηση ξαναχρησιμοποιήσει τον παλιό δείκτη, να πέσει πάνω σε δομές που ο ίδιος έβαλε εκεί. Και από τη στιγμή που μπορείς να κάνεις το πρόγραμμα να εκτελέσει δομές δεδομένων σαν κώδικα — ή να πειράξεις function pointers — το ζήτημα παύει να είναι «διαρροή» και γίνεται απομακρυσμένη εκτέλεση κώδικα.

2.2 — Το trigger: η στιγμή που ο server «πνίγεται»

Η πιο παράξενη — και η πιο θαυμαστή — λεπτομέρεια του PHP2Shell είναι ο εναύσματος: το bug ενεργοποιείται όταν η PHP τελειώνει τη διαθέσιμη μνήμη (out-of-memory) κατά την επεξεργασία ενός request. Η φράση «memory exhaustion handling» ακούγεται βαρετή· στην πράξη είναι η απόλυτη παγίδα, γιατί ο κώδικας που καθαρίζει μετά από ένα OOM event είναι από τους πιο πιεσμένους, πιο σπάνια δοκιμασμένους δρόμους σε κάθε πλατφόρμα.

Το σενάριο σε ψυχρά βήματα:

1. Ένας μη αυθεντικοποιημένος client στέλνει ένα HTTP request με crafted σώμα — κάτι που σκαρφαλώνει στην κατανάλωση μνήμης του PHP worker (γιγάντια strings, πειραγμένα multipart payloads, εμβαθυσμένα structures).
2. Η PHP αγγίζει το όριο (memory_limit) και μπαίνει στη διαδρομή καθαρισμού / διαχείρισης της αποτυχίας.
3. Σε αυτή τη διαδρομή, ένας δείκτης σε ήδη απελευθερωμένη δομή χρησιμοποιείται ξανά — το heap grooming του επιτιθέμενου έχει φροντίσει να βρίσκεται εκεί κάτι πολύ «ενδιαφέρον».
4. Το αποτέλεσμα: από απλή «κατάρρευση worker» περνάμε σε ελεγχόμενη εκτέλεση κώδικα με τα δικαιώματα του web worker.

Η ομορφιά (και η φρίκη) του design: ο επιτιθέμενος δεν χρειάζεται κανένα credential, κανένα upload form, κανένα σημείο «έννοιας» της εφαρμογής σου. Χτυπάει το PHP engine κάτω από την εφαρμογή σου. Το WordPress σου μπορεί να είναι τέλειο — το πρόβλημα είναι πιο κάτω.

2.3 — Τα δύο CVEs, δίπλα-δίπλα

Το PHP2Shell είναι ένα ζεύγος με ρόλους. Χρησιμοποίησε τα tabs:

2.4 — Η πλήρης αλυσίδα επίθεσης, σε έξι κινήσεις

1. Recon: Μαζική σάρωση για servers που απαντούν με PHP signatures (X-Powered-By, paths, fingerprints).
2. Trigger: Crafted request που οδηγεί τον worker σε OOM κατά τη διαχείριση της αποτυχίας.
3. Leak: Εκτέλεση της διαρροής μνήμης (CVE-2026-109619) για χάρτη του heap και διάσπαση ASLR.
4. Groom: Σειρά requests που γεμίζουν το heap με ελεγχόμενα δεδομένα στη σωστή γεωμετρία.
5. Fire: Επανάληψη του trigger με το groomed heap — το UAF (CVE-2026-109618) εκτελεί payload.
6. Own: Webshell, cron persistence, κλοπή credentials, πήδηξη σε βάση/panel/λόγια. Σε shared hosting: οι γείτονες είναι το επόμενο θύμα.

2.5 — Γιατί οι WAF και οι «ασφαλείς ρυθμίσεις» λιποτακτούν

Τα firewalls εφαρμογών ψάχνουν «κακό σχήμα» σε payloads: SQL, scripts, traversal. Το PHP2Shell, ωστόσο, δεν απαιτεί «κακό» περιεχόμενο με τη συμβατική έννοια — απαιτεί περιεχόμενο που ζορίζει τη μνήμη. Ένα αθώο, τεράστιο, δομημένο σώμα request μπορεί να είναι το όπλο. Επίσης:

• Η σάρωση γίνεται από νόμιμο HTTP σε νόμιμο endpoint — δεν υπάρχει «ύποπτο path» να μπλοκάρεις.
• Το trigger είναι κατάσταση μνήμης, όχι string signature.
• Κάθε απόπειρα μπορεί να μοιάζει με απλό timeout ή 500 — θόρυβος που κάθε web server παράγει καθημερινά.

Μπορείς να ρυθμίσεις WAF rules για όγκο payloads και ρυθμούς — και πρέπει. Αλλά το πραγματικό fix είναι ένα και μόνο: ενημέρωση της PHP.

2.6 — Πώς θα δεις αν σε έχουν (ή προσπαθούν) να χτυπήσουν

Τρία γρήγορα βήματα τώρα — τα πλήρη checkpoints στο Κεφάλαιο 05.

php -v
# Αν η έκδοσή σου είναι 5.4 έως 8.5 χωρίς το τελευταίο patch → ΘΑ Ενημερώσεις, ΤΩΡΑ.
# Σε shared hosting: δες το phpinfo() ή ρώτα τον πάροχο πότε εφάρμοσε το security patch.

# PHP heap corruption ή κατάρρευση workers:
grep -E "zend_mm_heap corrupted|segfault|signal 11|child .* exited on signal" /var/log/php*-fpm.log*

# OOM events στο systemd journal:
journalctl -k | grep -iE "out of memory|oom-killer|killed process"

# Ασυνήθιστα πολλά 500/502 από το ίδιο IP + μεγάλα POST bodies:
grep -E '" 50[02] ' /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head

# Ξαφνικοί php-fpm workers που τρώνε CPU (crypto miners):
ps aux --sort=-%cpu | head -15

HTTP2Shell: το Brotli RCE (CVE-2026-111497) — όταν το ίδιο σενάριο χτυπάει και τη στοίβα του Node

Δεν θα μπορούσε να είναι πιο cinematic: καθώς το PHP2Shell καιγόταν στο firehose, εμφανίστηκε ένα αδελφό ζήτημα — out-of-bounds write στον decoder του Brotli — που απλώνεται σε Node.js, Bun, Python, Envoy και Istio. Ανέβηκε ως «Node2Shell evolves to HTTP2Shell» και πήρε 261 points σε ώρες.

3.1 — Το bug σε μία παράγραφο

Ο Brotli είναι ο αλγόριθμος συμπίεσης που προτιμούν τα σύγχρονα HTTP stacks (μικρότερος από gzip, γρηγορότερος από deflate) — και είναι φυτεμένος παντού: bundled μέσα στο Node.js, μέσα στο Bun, διαθέσιμος σε Python μέσω των packages brotli και brotlicffi, ενσωματωμένος σε proxies όπως ο Envoy και το mesh του Istio. Μέσα στον decoder του εντοπίστηκε out-of-bounds write — κώδικας που γράφει έξω από τα όρια του buffer του — και σε τουλάχιστον ένα Node.js build επιδείχθηκε πλήρης εκτέλεση κώδικα. Το CVE: CVE-2026-111497.

Το σημαντικό: επειδή ο Brotli καλείται σε κάθε HTTP ανταλλαγή που negotiated-άρει συμπίεση, η επιφάνεια εκμετάλλευσης δεν είναι «εφαρμογή με buggy endpoint». Είναι ο ίδιος ο transport layer. Δεν χρειάζεσαι ευπάθεια στη λογική της εφαρμογής· χρειάζεσαι απλώς τον server να δέχεται να αποσυμπιέσει κάτι που του στέλνεις.

3.2 — Ποιους πλήττει (και γιατί είναι πιο απλωμένο απ' όσο φαίνεται)

3.3 — Από «Node2Shell» σε «HTTP2Shell»: πώς επεκτάθηκε η κρίση

Η ιστορία εκτυλίχθηκε ζωντανά. Πρώτα είδαμε «Node2Shell» — το RCE εντοπισμένο στο Node.js οικοσύστημα. Ύστερα η ανάλυση μεγάλωσε: η βλάβη είναι στον Brotli decoder ως such, όχι σε κάποιο Node-only wrapper. Αυτό σημαίνει ότι κάθε library και εφαρμογή που aggρεύει Brotli πάνω σε HTTP — ανεξαρτήτως γλώσσας — μπαίνει στο blast radius. Το thread «Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps» έφτασε τα 261 points μέσα σε λίγες ώρες, με συζητήσεις για τα πρώτα patch matrices ανά dependency.

Το μοτίβο είναι ίδιο με το PHP2Shell: decoder, untrusted input, memory corruption. Όπου υπάρχει parser που αγγίζει δεδομένα που έστειλε ο εχθρός, υπάρχει μετρούμενος κίνδυνος.— Σύνθεση από τις αναλύσεις: Strobes, Cycode, Aikido

3.4 — Τα κοινά μοτίβα: «η ημέρα που σχεδόν έσπασε το web»

Βάλε τα δύο περιστατικά δίπλα-δίπλα και θα δεις τον κοινό παρονομαστή που κάνει την ημέρα 24/10/2026 να μείνει στην ιστορία:

• Memory safety σε decoder/processor paths που αγγίζουν untrusted input — όχι λογικά bugs σε εφαρμογές.
• Unauthenticated triggers — το θύμα αρκεί να «υπάρχει» και να μιλάει HTTP.
• Κυκλοφορία PoC σε ώρες — Exploit-DB, GitHub, Twitter/X security circles.
• Patch race εναντίον σkanes automation — και η ισορροπία εξαρτάται από το πόσο γρήγορα ενημερώνει ο «μέσος» administrator.

Και κάτι ακόμα πιο βαθύ: και τα δύο φαίνονται να εντάσσονται στη νέα εποχή AI-assisted discovery — με τα εργαλεία ανακάλυψης να σαρώνουν επιφάνειες κώδικα με ταχύτητα που τα ανθρώπινα teams δεν έχουν. Για αυτό το μοτίβο, πλήρης ανάλυση στο Κεφάλαιο 06.

Το 12ωρο σε ακατέργαστα νούμερα: NVD, Exploit-DB, GitHub, CISA KEV

Για όσους θέλουν τα πρωτογενή δεδομένα, όχι τη σύνοψη: τι δημοσιεύτηκε στο NVD τις τελευταίες 36 ώρες, τι ανέβηκε στο Exploit-DB, ποια PoC repositories γεννήθηκαν σήμερα στο GitHub και τι πρόσθεσε η CISA στο Known Exploited Vulnerabilities catalog. Αυτή η ενότητα είναι το «trade desk» του dossier.

4.1 — NVD: 568 νέα CVEs σε 36 ώρες — και 51 από αυτά με score ≥ 9.0

Το National Vulnerability Database γέμισε σαν ξεχείλισε. Στο παράθυρο των 36 ωρών δημοσιεύτηκαν 568 νέα CVEs, από τα οποία 51 με CVSS ≥ 9.0 — ασυνήθιστα πυκνή «κυκλοφορία» ακόμα και για τα σημερινά δεδομένα. Τα υψηλότερα της ημέρας (9.9):

Στα 9.8, αξιοσημείωτα ονόματα: Linux kernel, πλατφόρμα WordPress plugins, runtime Wasmtime, router-space OpenWrt (odhcpd), υποδομή Conda, newsletter platform Postiz, AI-agent framework PraisonAI, αρχείο-archiving Goobi Viewer. Όταν το Linux kernel και το Wasmtime χτυπούν στο ίδιο 36ωρο με το PHP2Shell, καταλαβαίνεις ότι δεν είναι «μια κακή μέρα» — είναι πυκνογραμμένο σεζόν.

4.2 — Exploit-DB: το #52704

Η πιο σημαντική γραμμή του feed: PHP2Shell RCE, exploit ID #52704 — δημόσια, ταξινομημένη καταχώρηση που μετατρέπει το story από «θεωρητικό κίνδυνο» σε «ροή εργασιών για skane crews». Το Exploit-DB παραμένει ο καθρέφτης του τι είναι πρακτικά εκμεταλλεύσιμο: όταν κάτι ανεβαίνει εκεί, ο αριθμός των επιθέσεων μέσα στις επόμενες ώρες ακολουθεί σχεδόν γραμμικά.

4.3 — GitHub: 378 νέα repos με «poc» σε 24 ώρες

Η σάρωση του GitHub Search API για repositories που δημιουργήθηκαν από τις 23/10 απέδωσε εικόνα που σου κόβει την ανάσα: 378 νέα repositories μόνο με όρο αναζήτησης «poc» — μαζί με τα εξής, ξεχωριστά εντοπισμένα:

• antid00t/CVE-2026-102785 — YOOtheme Pro: unauthenticated RCE + WAF bypass. WordPress-adjacent οικοσύστημα, άμεση σχέση με το PHP θέμα.
• al4n4n/ZDI-CAN-33549 — PoC για Linux kernel ksmbd (SMB Direct, integer underflow). Kernel-side RCE surface.
• sh3llc0d3-0x15/CVE-2026-38526-Exploit — fresh exploit repo.
• sajjadh47/php2shell-php & citypeople/php2shell — εργαλεία detection/patching για το PHP2Shell (η καλή πλευρά της μαζικής δημιουργίας).

Διάβασε τον αριθμό ως ατμοσφαιρική πίεση: κάθε νέο από αυτά είναι ή είσοδος σε race των defenders ή κερδοσκοπικό εργαλείο skane. Το GitHub έχει γίνει το πραγματικό «slots» της παράνοιας.

4.4 — CISA KEV: 8 νέες καταχωρήσεις (catalog 2026.10.23)

Το Known Exploited Vulnerabilities catalog — η λίστα που «αναγκάζει» τις ομοσπονδιακές υπηρεσίες ΗΠΑ να κορνάρουν — ενημερώθηκε με 8 νέες εγγραφές. Τα highlights:

Σημείωση: το alert της 20/10 είχε προσθέσει άλλες 6 καταχωρήσεις (συμπεριλαμβανομένου SiteGuard components) — δηλαδή μιλάμε για συνεχόμενη ροή επιβεβαιωμένων ενεργών εκμεταλλεύσεων, όχι μεμονωμένα «ξεπέταγματα». Αν διαχειρίζεσαι self-hosted Plex: η θύρα 32400 δεν πρέπει να φαίνεται στο internet, τελεία.

4.5 — Oracle, GitLab, ConnectWise: το enterprise κρεσέντο

• Oracle — emergency Java update (CVE-2026-91403, score 9.1): κρίσιμο flaw στον τρόπο που Java εφαρμογές εμπιστεύονται HTTPS chains. Το fix «απο-εμπιστεύεται» ένα σύνολο impacted intermediate CA certificates. Αν τρέχεις enterprise Java: out-of-band update, άμεσα — δεν περιμένεις quarterly CPU.
• GitLab — CVSS 10.0 (CVE-2026-110264): unauthenticated code execution σε self-managed εκδόσεις — integer overflow στον regular expression compiler, με impact σε εκδόσεις 12 ετών (από το v7.0). Ακολούθησε και δεύτερο κρίσιμο σε CI/CD regex compiler (CVE-2026-97229). Patch releases: 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9. Αν έχεις self-managed GitLab στο internet: το είπες ήδη — patch τώρα.
• ConnectWise / SkyKick breach: κλαπμένο vendor credential του ConnectWise Cloud Backup χρησιμοποιήθηκε για απόκτηση Microsoft Graph tokens και πρόσβαση σε περίπου 2.250 Microsoft 365 tenants (πρώτες ενδείξεις 15/10, συνεχιζόμενες επιπτώσεις). Το δίδαγμα: vendor trust είναι attack surface — audit λιστών enterprise apps στο tenant σου, απενεργοποίηση αχρησιμοποίητων, έλεγχος audit logs για service principal tokens.