Τι εβδομάδα κι αυτή! Όταν ο κώλος του διαδικτύου γίνεται Φ50

PHP με τρύπες, Node.js στην εντατική, Railway με διαρροή και npm σε αναρρωτική. Οι DevOps έχουν να κοιμηθούν από την προηγούμενη κυβέρνηση.

Υπάρχουν εβδομάδες που το διαδίκτυο λειτουργεί κανονικά. Οι servers σερβίρουν, οι developers γράφουν κώδικα, οι DevOps κοιμούνται με το ένα μάτι ανοιχτό και οι hackers ψάχνουν πού θα βρουν κανένα ξεχασμένο password. Και υπάρχουν εβδομάδες σαν αυτή, που κάποιος πρέπει να καλέσει την πυροσβεστική, την αστυνομία και έναν παπά. Όχι απαραίτητα με αυτή τη σειρά.

Η εβδομάδα 19 έως 23 Οκτωβρίου 2026 θα μπορούσε να χαρακτηριστεί ως μια συνηθισμένη εβδομάδα στον χώρο της πληροφορικής. Αν εξαιρέσουμε ότι η PHP χρειάστηκε επειγόντως μπαλώματα, το Node.js βρέθηκε αντιμέτωπο με σοβαρά προβλήματα ασφαλείας, η Railway ανακοίνωσε παραβίαση των συστημάτων της και το npm αποφάσισε να κάνει κι αυτό την εμφάνισή του στο δελτίο συμβάντων.

Κατά τα άλλα, όλα καλά.

PHP: Ο παππούς έφαγε δύο σφαίρες και συνέχισε να λειτουργεί

Ξεκινάμε με την αγαπημένη μου PHP.

Η γλώσσα που εδώ και περίπου τριάντα χρόνια κάποιοι ανακοινώνουν ότι πεθαίνει, αλλά εκείνη εξακολουθεί να σηκώνεται κάθε πρωί, να φτιάχνει καφέ και να εξυπηρετεί ιστοσελίδες.

Αυτή την εβδομάδα βρέθηκε αντιμέτωπη με δύο σοβαρά ζητήματα ασφαλείας, τα CVE-2026-109618 και CVE-2026-109619.

Οι διαχειριστές συστημάτων χρειάστηκε να ελέγξουν τις εκδόσεις τους και να εγκαταστήσουν τις αντίστοιχες διορθώσεις.

Στους δικούς μου servers η διαδικασία ολοκληρώθηκε. Έκανα τις ενημερώσεις, έλεγξα ότι οι εφαρμογές λειτουργούν και συνέχισα τη δουλειά μου.

Η PHP, πάντως, δεν έδειξε να συγκινείται ιδιαίτερα.

Την έχουν θάψει τόσες φορές που πλέον πρέπει να διαθέτει οικογενειακό τάφο με συνδρομή. Η «πεθαμένη γλώσσα» που κάποιοι ανακάλυψαν ξαφνικά ότι κρατάει όρθιο πάνω από το 70% του διαδικτύου.

Node.js: Ο νεαρός έπαθε νευρικό κλονισμό

Και ενώ ο παππούς PHP άλλαζε επιδέσμους, από το απέναντι στρατόπεδο ακούστηκαν ουρλιαχτά.

Το Node.js αντιμετώπισε ένα πακέτο ευπαθειών ασφαλείας, με διορθωτικές εκδόσεις που κυκλοφόρησαν στις 21 Οκτωβρίου.

Ανάμεσά τους ξεχώρισε μια ιδιαίτερα σοβαρή τρύπα στον μηχανισμό αποσυμπίεσης Brotli, η CVE-2026-111497, με βαθμολογία σοβαρότητας 9,8 στα 10. Σχεδόν πιο σκατά δεν γίνεται δηλαδή.

Για όσους δεν ασχολούνται με την πληροφορική, το Brotli είναι ένας μηχανισμός συμπίεσης δεδομένων.

Παίρνεις κάτι μεγάλο, το κάνεις μικρότερο και το στέλνεις γρηγορότερα.

Εξαιρετική ιδέα.

Μέχρι να ανακαλύψεις ότι κάποιος μπορεί να σου στείλει κάτι μικρό, το οποίο όταν προσπαθήσεις να το αποσυμπιέσεις, ενδέχεται να μετατρέψει την εφαρμογή σου σε δημόσιο αξιοθέατο κυβερνοασφάλειας.

Οι επηρεαζόμενες εγκαταστάσεις χρειάζονται ενημέρωση στις διορθωμένες εκδόσεις.

Το Node.js, βέβαια, δεν φταίει που υπάρχουν τρύπες. Όλα τα λογισμικά έχουν.

Απλώς είναι λίγο αστείο να βλέπεις ένα οικοσύστημα που διαφημίζει διαρκώς την ταχύτητα και τη μοντέρνα αρχιτεκτονική του να ανακαλύπτει ότι η ταχύτητα δεν βοηθά ιδιαίτερα όταν τρέχεις προς τον γκρεμό.

Railway: Κάποιος μπήκε στο μηχανοστάσιο και πήρε τα κλειδιά

Εδώ τα πράγματα γίνονται πραγματικά ενδιαφέροντα.

Η Railway είναι μια εταιρεία που αναλαμβάνει να φιλοξενεί εφαρμογές στο cloud.

Εσύ γράφεις τον κώδικα, τον ανεβάζεις και εκείνη φροντίζει για τις υποδομές, τα deployments και ένα σωρό άλλες δουλειές που διαφορετικά θα έπρεπε να κάνεις μόνος σου.

Με απλά λόγια, πληρώνεις κάποιον για να μη χρειάζεται να ξυπνάς στις τρεις το πρωί επειδή ένας server αποφάσισε να αυτοκτονήσει.

Μόνο που αυτή την εβδομάδα η ίδια η Railway χρειάστηκε να αντιμετωπίσει ένα σοβαρό περιστατικό ασφαλείας.

Σύμφωνα με την προκαταρκτική έκθεση της εταιρείας, επιτιθέμενοι απέκτησαν πρόσβαση σε εσωτερικά συστήματα και κατάφεραν να αποκρυπτογραφήσουν ορισμένα αποθηκευμένα μυστικά πελατών.

Τι είναι αυτά τα μυστικά;

Κωδικοί πρόσβασης, API keys, διαπιστευτήρια βάσεων δεδομένων και άλλες πληροφορίες που κανονικά εννοείται ότι δεν πρέπει να κυκλοφορούν ελεύθερες.

Η Railway ανακοίνωσε ότι η πιθανή έκταση του περιστατικού περιορίζεται σε ένα μικρό ποσοστό των workspaces της 😂😂😂. Αυτό δεν σημαίνει ότι κάθε workspace που εξετάζεται παραβιάστηκε ή ότι κλάπηκαν όλα τα διαπιστευτήριά του.

Ωστόσο, το πρόβλημα παραμένει σοβαρό.

Γιατί όταν εμπιστεύεσαι σε κάποιον τρίτο τα κλειδιά του σπιτιού σου, περιμένεις τουλάχιστον να μη χρειαστεί να αλλάξεις όλες τις κλειδαριές επειδή κάποιος μπήκε στο γραφείο του.

Η εταιρεία προχώρησε σε περιορισμό του περιστατικού, αποκατάσταση υπηρεσιών και ειδοποιήσεις πελατών.

Και οι διαχειριστές άρχισαν το γνωστό πανηγύρι.

Αλλαγή API keys. Αλλαγή passwords. Έλεγχος logs. Επανέκδοση credentials.

Κάπου εκεί ένας DevOps πρέπει να κοίταξε το επαγγελματικό του συμβόλαιο για να δει αν περιλαμβάνει επίδομα ψυχικής οδύνης.

Η τεχνητή νοημοσύνη μπήκε κι αυτή στο κόλπο

Το πιο παράξενο στοιχείο της υπόθεσης Railway είναι η σύνδεσή της με την τεχνητή νοημοσύνη.

Η εταιρεία εκτιμά ότι οι επιτιθέμενοι αναζητούσαν API keys παρόχων AI για να πραγματοποιήσουν επιθέσεις model distillation.

Πρόκειται για μια διαδικασία κατά την οποία οι απαντήσεις ενός ισχυρού μοντέλου χρησιμοποιούνται για την εκπαίδευση ενός άλλου.

Η τεχνική από μόνη της δεν είναι κακόβουλη. Χρησιμοποιείται και νόμιμα στην έρευνα και την ανάπτυξη μοντέλων.

Αλλά όταν χρηματοδοτείς τη διαδικασία με κλεμμένα API keys, τότε η κατάσταση μάλλον αλλάζει.

Είναι σαν να κλέβεις την πιστωτική κάρτα του γείτονα για να πληρώσεις τα ιδιαίτερα μαθήματα του παιδιού σου.

Η Railway αναφέρει επίσης ενδείξεις ότι οι επιτιθέμενοι διέθεταν τροποποιημένα μοντέλα AI χωρίς περιορισμούς ασφαλείας.

Προς το παρόν πρόκειται για προκαταρκτικές εκτιμήσεις και όχι για οριστικά συμπεράσματα.

Πάντως, η εικόνα δείχνει πολύ άσχημη.

Δημιουργήσαμε τεχνητή νοημοσύνη για να μας βοηθά να γράφουμε κώδικα.

Μετά αρχίσαμε να τη χρησιμοποιούμε για να ελέγχουμε την ασφάλεια του κώδικα.

Και τώρα εξετάζουμε το ενδεχόμενο κάποιοι να χρησιμοποιούν τεχνητή νοημοσύνη για να κλέβουν πρόσβαση σε περισσότερη τεχνητή νοημοσύνη.

Αν συνεχίσουμε έτσι, σε λίγα χρόνια οι hackers θα στέλνουν τα μοντέλα τους να διαπραγματεύονται απευθείας με τα μοντέλα των θυμάτων.

Εμείς θα παρακολουθούμε τη διαδικασία και απλά θα πληρώνουμε τα tokens.

npm: Πήγαμε για dependencies και βρήκαμε κατεβασμένα ρολά

Στις 22 Οκτωβρίου, το npm registry αντιμετώπισε προβλήματα διαθεσιμότητας που επηρέασαν λειτουργίες όπως η εγκατάσταση και η δημοσίευση πακέτων.

Το npm είναι το τεράστιο οικοσύστημα βιβλιοθηκών του JavaScript.

Αν γράφεις σύγχρονες web εφαρμογές, υπάρχει μεγάλη πιθανότητα να το χρησιμοποιείς ακόμη κι αν η κύρια γλώσσα σου είναι η PHP.

Εγώ, για παράδειγμα, το χρησιμοποιώ για εργαλεία όπως το Tailwind CSS και το esbuild.

Όταν το npm τα φτύνει, ένα build που κανονικά τελειώνει σε λίγα δευτερόλεπτα μπορεί να κρατήσει μέχρι να πάρεις σύνταξη. Κι αυτό υπό την προϋπόθεση ότι θα υπάρχει ακόμα συνταξιοδοτικό σύστημα.

Δεν πρόκειται για το ίδιο είδος περιστατικού με μια κυβερνοεπίθεση. Είναι όμως μια καλή υπενθύμιση του πόσο εξαρτημένη έχει γίνει η ανάπτυξη λογισμικού από υπηρεσίες τρίτων.

Κάποτε για να γράψεις μια ιστοσελίδα χρειαζόσουν έναν επεξεργαστή κειμένου και έναν browser.

Σήμερα χρειάζεσαι έναν package manager, έναν bundler, έναν transpiler, ένα CSS framework, δεκατέσσερις βιβλιοθήκες και την καλή διάθεση ενός άγνωστου τύπου στην άλλη άκρη του πλανήτη, που συντηρεί δωρεάν μια βιβλιοθήκη από την οποία εξαρτάται η μισή ανθρωπότητα.

Αν ένας από αυτούς ξυπνήσει στραβά, στην καλύτερη περίπτωση αναβάλλεται η παραγωγή.

Και τελικά ποιος φταίει;

Εδώ θα απογοητεύσω όσους περιμένουν να δείξω με το δάχτυλο μία συγκεκριμένη γλώσσα προγραμματισμού.

Δεν φταίει η PHP επειδή είναι παλιά.

Δεν φταίει το Node.js επειδή είναι δημοφιλές.

Δεν φταίει αυτομάτως το cloud επειδή μια εταιρεία αντιμετώπισε περιστατικό ασφαλείας.

Το πρόβλημα είναι ότι το σύγχρονο λογισμικό έχει γίνει ένα τεράστιο οικοδόμημα εξαρτήσεων.

Κάθε εφαρμογή στηρίζεται σε βιβλιοθήκες. Οι βιβλιοθήκες σε άλλες βιβλιοθήκες. Τα builds σε εξωτερικές υπηρεσίες. Οι εφαρμογές σε cloud providers. Οι cloud providers σε δικά τους συστήματα και συνεργάτες.

Και κάπου στη μέση βρίσκεται ένας άνθρωπος που προσπαθεί απλώς να εμφανίσει ένα κουμπί στη σωστή θέση.

Έχω περάσει αρκετά χρόνια γράφοντας κώδικα και διαχειριζόμενος συστήματα ώστε να ξέρω ότι η απόλυτη ασφάλεια δεν υπάρχει.

Υπάρχει όμως η σωστή συντήρηση.

Ενημερώσεις. Backups. Περιορισμένα δικαιώματα. Έλεγχος εξαρτήσεων. Παρακολούθηση συστημάτων. Σωστή διαχείριση μυστικών.

Πράγματα βαρετά, που δεν γίνονται viral στο LinkedIn και δεν χρειάζονται κάποιον να φωτογραφίζεται μπροστά σε μια οθόνη με πράσινα γράμματα.

Αλλά είναι αυτά που κάνουν τη διαφορά όταν αρχίζουν να πέφτουν οι πρώτες σφαίρες.

Η τελική αναφορά από τα συντρίμμια

Λοιπόν, έχουμε και λέμε.

Η PHP τραυματίστηκε, δέχτηκε τις πρώτες βοήθειες και επέστρεψε στη δουλειά.
Το Node.js πήγε για επείγουσα χειρουργική επέμβαση.
Η Railway ανακάλυψε ότι κάποιος είχε αποκτήσει πρόσβαση στο μηχανοστάσιο.
Το npm κατέβασε ρολά και άφησε τους developers να κοιτάζουν την οθόνη σαν συνταξιούχους έξω από κλειστή τράπεζα.

Και η τεχνητή νοημοσύνη, που υποτίθεται ότι θα μας έλυνε τα προβλήματα, βρέθηκε να πρωταγωνιστεί σε ένα ακόμη.

Εγώ έκανα τις ενημερώσεις μου, έλεγξα τους servers μου και επέστρεψα στον κώδικα.

Γιατί, όσο κι αν εξελίσσεται η τεχνολογία, ένα πράγμα παραμένει σταθερό.

Κάθε φορά που κάποιος ανακοινώνει ότι βρήκε τον τρόπο να εξαφανίσει την πολυπλοκότητα από την πληροφορική, εμφανίζονται τρεις καινούργιες υπηρεσίες, πέντε frameworks και δεκαεπτά ευπάθειες για να του εξηγήσουν ότι έκανε λάθος.

Αυτά από τα εργαστήρια του Tomgineer. Το διαδίκτυο εξακολουθεί να λειτουργεί, οι servers μου είναι ενημερωμένοι και εγώ σκέφτομαι σοβαρά να επιστρέψω στο χαρτί και το μολύβι.

Αρκεί να μην ανακαλύψει κανείς και στην ξύστρα καμιά τρύπα Remote Code Execution (RCE).