Ιστολόγιο: PHP2Shell, ασφάλεια διακομιστών και επείγουσα βοήθεια
Αξιολόγηση της κατάστασης, οδηγίες για διαχειριστές και βοηθήματα λήψης αποφάσεων για τη διοίκηση. Ταξινομημένα ανά θέμα, κάθε άρθρο με πηγές.
Κατάσταση και αξιολόγηση
17 άρθρα
PHP2Shell: τι έχει τεκμηριωθεί και τι όχι
Έλεγχος γεγονότων για το PHP2Shell: ποιες πληροφορίες προέρχονται από πρωτογενείς πηγές, ποιες από δημοσιεύματα και ποιοι ισχυρισμοί δεν στέκουν.
Συνέχεια →002Γιατί η ευπάθεια της PHP έγινε γνωστή πριν από το patch
Σύμφωνα με αναφορές, λεπτομέρειες για το PHP2Shell έγιναν δημόσιες πριν λήξει το embargo. Εξηγούμε τη διαδικασία και τι σημαίνει για τον σχεδιασμό των ενημερώσεών σας.
Συνέχεια →003Αρχές βγάζουν ιστότοπους εκτός δικτύου: τι μαθαίνουν οι επιχειρήσεις
Η Mainz, η κυβέρνηση του κρατιδίου της Έσσης και η BKA έβγαλαν προληπτικά ιστότοπους εκτός δικτύου. Τι μπορούν να μάθουν οι επιχειρήσεις για τη δική τους απόφαση.
Συνέχεια →004Επίπεδο προειδοποίησης BSI πορτοκαλί: τι σημαίνει η κατάταξη
Η BSI κατατάσσει το PHP2Shell στο 3 / πορτοκαλί. Τι δείχνει η κλίμακα, τι όχι και πώς μεταφράζουν οι επιχειρήσεις την κατάταξη σε αποφάσεις.
Συνέχεια →005Τι συμβουλεύουν το CERT-EU και το CERT-Bund για το PHP2Shell
Οι επίσημοι φορείς συμφωνούν: άμεσο patch, αλλιώς απομόνωση. Συγκρίνουμε τις συστάσεις και δείχνουμε πώς μοιάζει πρακτικά η απομόνωση.
Συνέχεια →006Οι κανόνες προστασίας της Cloudflare για το PHP2Shell: τι προσφέρουν και τι όχι
Η Cloudflare ενεργοποίησε νωρίς κανόνες προστασίας για το PHP2Shell. Γιατί βοηθούν, γιατί δεν αντικαθιστούν την ενημέρωση της PHP και ποιες ρυθμίσεις να ελέγξετε.
Συνέχεια →00722,6 εκατομμύρια εκτεθειμένες εγκαταστάσεις: πώς διαβάζουμε σωστά τους αριθμούς
Οι Unit 42, CybelAngel και άλλοι αναφέρουν πολύ διαφορετικούς αριθμούς για το PHP2Shell. Εξηγούμε τι μετρήθηκε και ποιος αριθμός μετράει πραγματικά για εσάς.
Συνέχεια →008Το PHP2Shell σε πέντε λεπτά: ενημέρωση για τη διοίκηση
Η ευπάθεια ασφαλείας PHP2Shell της PHP σε μία σελίδα για όσους αποφασίζουν: κατάσταση, κίνδυνος, πέντε ερωτήσεις προς την IT και οι αποφάσεις για σήμερα.
Συνέχεια →009Η ευπάθεια ασφαλείας της PHP απλά εξηγημένη
Το PHP2Shell για μη τεχνικούς: με εικόνες της καθημερινότητας, ένα μικρό γλωσσάρι και τρεις τυπικές αφετηρίες, τι πρέπει να κάνετε ως διαχειριστής ιστότοπου.
Συνέχεια →010PHP2Shell: 15 ερωτήσεις πελατών φιλοξενίας
Ο ιστότοπός σας βρίσκεται σε πάροχο φιλοξενίας και θέλετε να μάθετε τι πρέπει να κάνετε εσείς για το PHP2Shell; Εδώ οι 15 συχνότερες ερωτήσεις με σύντομες απαντήσεις.
Συνέχεια →011Γιατί μια ενημέρωση του WordPress δεν βοηθά απέναντι στο PHP2Shell
Πολλοί διαχειριστές ενημέρωσαν το WordPress μετά τους τίτλους και αισθάνονται ασφαλείς. Γιατί αυτό δεν αρκεί στο PHP2Shell και τι μετράει αντί γι' αυτό.
Συνέχεια →012PHP2Shell και Log4Shell: τι έχουν κοινό οι δύο ευπάθειες
Πολλοί συγκρίνουν το PHP2Shell με το Log4Shell του 2021. Τι αντέχει η σύγκριση, πού χωλαίνει και ποια διδάγματα από τότε βοηθούν σήμερα.
Συνέχεια →013Μαζικές σαρώσεις για PHP χωρίς patch: πώς εξελίσσονται οι αυτοματοποιημένες επιθέσεις
Μετά το PHP2Shell οι επιτιθέμενοι σαρώνουν αυτοματοποιημένα το διαδίκτυο για ευάλωτους διακομιστές. Πώς εξελίσσεται, γιατί το μέγεθος δεν παίζει ρόλο και τι σας προστατεύει.
Συνέχεια →014Το χρονικό παράθυρο ανάμεσα στο patch και την επίθεση
Στο PHP2Shell υπήρξαν απόπειρες επίθεσης ήδη πριν από το patch. Εξηγούμε τις φάσεις του χρονικού παραθύρου, πώς μετράτε το δικό σας και πώς το μικραίνετε.
Συνέχεια →015Μετά το PHP2Shell: γιατί είναι πιθανές και άλλες ανακοινώσεις
Το PHP2Shell δεν έχει ολοκληρωθεί με το patch της 21ης Οκτωβρίου. Γιατί αναμένονται επόμενες ανακοινώσεις και πώς προετοιμάζετε την ομάδα σας.
Συνέχεια →016PHP2Shell: η εικόνα κατάστασης της πρώτης εβδομάδας
Μία εβδομάδα μετά την πρώτη παρατηρηθείσα απόπειρα επίθεσης: η κατάσταση σε patches, προειδοποιήσεις αρχών, επιθέσεις και απενεργοποιήσεις, ξεκάθαρα χωρισμένη ανά πηγή.
Συνέχεια →017Επικίνδυνες λανθασμένες συμβουλές για το PHP2Shell που κυκλοφορούν αυτή την περίοδο
Αποκλεισμός cookies, απόκρυψη μηνυμάτων σφάλματος, ενημέρωση μόνο του CMS: εννέα συμβουλές για το PHP2Shell που δημιουργούν ψεύτικη ασφάλεια και τι μετράει πραγματικά.
Συνέχεια →Φιλοξενία και διανομές
18 άρθρα
Αλλαγή έκδοσης PHP στην περιοχή πελατών της φιλοξενίας
Πώς αλλάζετε την έκδοση PHP στην περιοχή πελατών του παρόχου φιλοξενίας, ποια έκδοση να επιλέξετε και τι ελέγχετε πριν και μετά.
Συνέχεια →019Debian και Ubuntu: έχει patch το πακέτο PHP μου;
Ποια πακέτα PHP έχουν διορθώσει οι Debian και Ubuntu για το PHP2Shell, πώς συγκρίνετε με ακρίβεια την εγκατεστημένη κατάσταση και πού αποτυγχάνει η απόδειξη.
Συνέχεια →020RHEL, AlmaLinux και Rocky Linux: έλεγχος του patch PHP
Τι δημοσίευσε η Red Hat για το PHP2Shell, πώς τεκμηριώνετε το επίπεδο πακέτων σε RHEL και στα παράγωγα και γιατί η επαναφόρτωση δεν αρκεί.
Συνέχεια →021Το αποθετήριο sury.org: πακέτα PHP από πηγή τρίτου
Πολλοί διακομιστές Debian και Ubuntu λαμβάνουν PHP από το αποθετήριο sury. Τι σημαίνει αυτό για ενημερώσεις, αποδείξεις και παλιές εκδόσεις PHP μετά το PHP2Shell.
Συνέχεια →022Το αποθετήριο Remi: PHP τρέχουσα σε συστήματα RHEL
Το Remi παρέχει τρέχουσες εκδόσεις PHP για την οικογένεια RHEL, ως module ή παράλληλα εγκαταστάσιμες. Έτσι ελέγχετε την κατάσταση μετά το PHP2Shell και αποφεύγετε ξεχασμένους κλάδους.
Συνέχεια →023Γιατί το php -v δείχνει τον ίδιο αριθμό μετά την ενημέρωση
Η ενημέρωση έτρεξε, αλλά το php -v αναφέρει την παλιά έκδοση. Συνήθως είναι backport και όχι σφάλμα. Έτσι ξεχωρίζετε το αβλαβές από τα πραγματικά προβλήματα.
Συνέχεια →024Τεκμηρίωση αριθμών CVE στο changelog του πακέτου
Όποιος πρέπει να αποδείξει ένα patch PHP στη διοίκηση, σε ελεγκτές ή ασφαλιστές χρειάζεται κάτι περισσότερο από έναν αριθμό έκδοσης. Έτσι η εγγραφή στο changelog γίνεται τεκμήριο.
Συνέχεια →025Αλλαγή παρόχου φιλοξενίας μετά από περιστατικό ασφαλείας: τι να προσέξετε;
Μετά από ένα περιστατικό είναι κατανοητή η επιθυμία για νέο πάροχο φιλοξενίας. Για να μη μεταφερθεί μαζί και ο επιτιθέμενος, μετράνε η σειρά και η επιλογή.
Συνέχεια →026Πολλές εκδόσεις PHP σε έναν διακομιστή: patch σε καθεμία ξεχωριστά
Σε πολλούς διακομιστές τρέχουν τρεις, τέσσερις ή περισσότερες εγκαταστάσεις PHP δίπλα-δίπλα. Μετά το PHP2Shell κάθε μία πρέπει να εντοπιστεί, να ενημερωθεί και να επανεκκινηθεί.
Συνέχεια →027Απενεργοποίηση παλιών εκδόσεων PHP στο πάνελ φιλοξενίας
Το PHP2Shell είναι μια καλή αφορμή να απαλλαγείτε από τις παλιές εκδόσεις PHP. Έτσι προχωράτε σε τρεις φάσεις, ώστε να μην πέσει απαρατήρητα κανένας ιστότοπος και κανένα cronjob.
Συνέχεια →028Plesk: κατανόηση των PHP handlers (FPM, FastCGI, module Apache)
Ποιον PHP handler χρησιμοποιεί το Plesk για έναν ιστότοπο, καθορίζει την απομόνωση, τη διαμόρφωση και τον κίνδυνο. Μια σύγκριση με το βλέμμα στο PHP2Shell.
Συνέχεια →029CloudLinux και alt-php: τι πρέπει να γνωρίζουν οι πελάτες φιλοξενίας
Στους διακομιστές CloudLinux οι ιστότοποι τρέχουν συχνά με δικά τους πακέτα alt-php. Κάθε μία από αυτές τις εκδόσεις χρειάζεται δικό της patch και μόνο ο διαχειριστής του διακομιστή μπορεί να το εφαρμόσει.
Συνέχεια →030PHP σε NAS, firewalls και appliances: τα ξεχασμένα συστήματα
Όχι μόνο οι διακομιστές ιστού χρησιμοποιούν PHP. Επηρεάζονται και συστήματα NAS, firewalls και εξειδικευμένες συσκευές με διεπαφή ιστού. Patch μπορεί να κάνει εκεί συνήθως μόνο ο κατασκευαστής, την προσβασιμότητα τη ρυθμίζετε εσείς.
Συνέχεια →031PHP σε παρόχους cloud και PaaS: ποιος κάνει patch στο runtime;
Στις υπηρεσίες πλατφόρμας το patch PHP εξαρτάται από το μοντέλο λειτουργίας. Καθοριστικό είναι το runtime που εξυπηρετεί πραγματικά, όχι το τοπικό περιβάλλον ή ο κώδικας της εφαρμογής.
Συνέχεια →032Επίσημες εικόνες PHP Docker: tags, digests και επανακατασκευή
Ένα tag της επίσημης εικόνας PHP είναι ένας δείκτης που με τον χρόνο μετακινείται σε νεότερα επίπεδα. Όποιος γνωρίζει τι σημαίνουν tag, παραλλαγή και digest, επιλέγει τη σωστή εικόνα και μπορεί να τεκμηριώσει το επίπεδο του patch.
Συνέχεια →033CI/CD: αυτόματη επανακατασκευή εικόνων PHP
Μια εικόνα παλιώνει και χωρίς αλλαγή κώδικα. Με builds με χρονοπρογραμματισμό, έλεγχο έκδοσης και rollout με digest, τα patches PHP φτάνουν αξιόπιστα στην παραγωγή.
Συνέχεια →034Μακροχρόνια υποστήριξη για παλιές εκδόσεις PHP: επιλογές και όρια
Όποιος δεν μπορεί να αλλάξει αμέσως από PHP 8.1 ή παλαιότερη, βρίσκει μακροχρόνια υποστήριξη σε διανομές, τρίτους παρόχους και εμπορικές υπηρεσίες. Τι προσφέρουν αυτοί οι δρόμοι, τι χρειάζεστε γραπτώς και πού βρίσκονται τα όρια.
Συνέχεια →035Ενημέρωση της PHP στα Windows
Στα Windows δεν υπάρχει αυτόματη ενημέρωση PHP. Όποιος επιλέγει τη σωστή παραλλαγή, ελέγχει τη λήψη και επανεκκινεί όλες τις διεργασίες, φέρνει καθαρά το patch PHP2Shell σε κάθε υπολογιστή.
Συνέχεια →Εντοπισμός και ψηφιακή εγκληματολογία
18 άρθρα
Προειδοποιητικό σημάδι: ο διακομιστής ιστού ξεκινά shell
Αν μια διεργασία PHP-FPM ή διακομιστή ιστού ξεκινά shell, αυτό είναι ένα από τα ισχυρότερα προειδοποιητικά σημάδια εισβολής. Έτσι ελέγχετε το δέντρο διεργασιών, κατατάσσετε τις εξαιρέσεις και παρακολουθείτε το μοτίβο μόνιμα.
Συνέχεια →037Εύρεση ύποπτων διεργασιών σε διακομιστές Linux
Οι κακόβουλες διεργασίες μεταμφιέζονται με αθώα ονόματα, τρέχουν από προσωρινούς φακέλους ή από διαγραμμένα αρχεία. Με λίγες εντολές ανάγνωσης βρίσκετε τα παράξενα και τα κατατάσσετε.
Συνέχεια →038Αναγνώριση κρυφών cronjobs ως κερκόπορτας
Οι επιτιθέμενοι χρησιμοποιούν προγραμματισμένες εργασίες για να επιστρέφουν μετά από έναν καθαρισμό. Έτσι ελέγχετε πλήρως crontabs, καταλόγους cron, timers systemd και εργασίες at και αναγνωρίζετε ύποπτες εγγραφές.
Συνέχεια →039Εύρεση πρόσφατα αλλαγμένων αρχείων στον διακομιστή ιστού
Μετά από πιθανή εισβολή μετράει τι άλλαξε στον διακομιστή. Έτσι ψάχνετε με χρονικά παράθυρα, χρησιμοποιείτε σωστά τα mtime και ctime και αντιπαραβάλλετε με πακέτα, Git και αντίγραφα ασφαλείας.
Συνέχεια →040Αρχεία PHP στον φάκελο upload: σωστή ερμηνεία των ευρημάτων
Ένα αρχείο PHP στον φάκελο upload είναι σχεδόν πάντα προειδοποίηση, αλλά όχι κάθε αρχείο είναι κακόβουλος κώδικας. Έτσι αξιολογείτε το εύρημα χωρίς να καταστρέψετε ίχνη και διευκρινίζετε αν το κάλεσε κάποιος.
Συνέχεια →041Αναγνώριση συγκαλυμμένου κώδικα PHP
Δυσανάγνωστος κώδικας PHP με eval και base64_decode είναι κλασικό σημάδι παρεισφρήσαντος κακόβουλου κώδικα. Ποια μοτίβα να αναζητήσετε, πώς να τα βρείτε χωρίς κίνδυνο και πότε η συγκάλυψη είναι θεμιτή.
Συνέχεια →042Έλεγχος των εξερχόμενων συνδέσεων ενός διακομιστή
Ένας διακομιστής ιστού απαντά κυρίως σε αιτήματα. Αν ο ίδιος ανοίγει συνδέσεις προς άγνωστους προορισμούς, αυτό μπορεί να σημαίνει έλεγχο από επιτιθέμενους ή διαρροή δεδομένων. Έτσι ελέγχετε και περιορίζετε την εξερχόμενη κίνηση.
Συνέχεια →043Εύρεση ξένων λογαριασμών διαχειριστή σε CMS και διακομιστή
Ένας άγνωστος διαχειριστής είναι συχνά η πιο απλή κερκόπορτα. Έτσι αναζητάτε επίπεδο προς επίπεδο ξένους λογαριασμούς, και αυτούς που κρύβει η διεπαφή.
Συνέχεια →044Εύρεση και αφαίρεση άγνωστων κλειδιών SSH
Ένα κλειδί SSH που παρεισέφρησε ανοίγει την πόρτα στους επιτιθέμενους, ακόμη κι όταν έχουν αλλάξει όλοι οι κωδικοί. Έτσι βρίσκετε κάθε αρχείο authorized_keys και ελέγχετε κάθε εγγραφή.
Συνέχεια →045Κρυπτοεξορύκτης στον διακομιστή ιστού: ενδείξεις και ενέργειες
Μόνιμα γεμάτη CPU, χωρίς να έρχονται περισσότεροι επισκέπτες: αυτό μπορεί να είναι κρυπτοεξορύκτης. Έτσι ελέγχετε το φορτίο, βρίσκετε τη διεργασία και τους μηχανισμούς επανεκκίνησής της και ενεργείτε με τάξη.
Συνέχεια →046Ο διακομιστής στέλνει spam: εύρεση αιτιών
Μη παραδοτέα μηνύματα, μαύρες λίστες, παράπονα: όταν ο δικός σας διακομιστής στέλνει spam, πίσω βρίσκεται συνήθως ένα script ή ένα κλεμμένο γραμματοκιβώτιο. Έτσι βρίσκετε την πηγή.
Συνέχεια →047SEO spam και ξένες σελίδες στο ευρετήριο της Google
Ξαφνικά εμφανίζονται κάτω από το domain σας σελίδες για φάρμακα ή απομιμήσεις προϊόντων. Δείτε πώς θα βρείτε από πού προέρχεται το SEO spam και πώς θα το αφαιρέσετε από το ευρετήριο.
Συνέχεια →048Ο ιστότοπος ανακατευθύνει σε ξένες σελίδες
Οι επισκέπτες καταλήγουν σε διαγωνισμούς ή ύποπτα καταστήματα, ενώ εσείς δεν βλέπετε τίποτα; Βρείτε το στρώμα όπου κρύβεται η ανακατεύθυνση και αφαιρέστε την.
Συνέχεια →049Διασφαλίστε τα αποδεικτικά πριν στήσετε ξανά τον διακομιστή
Η ανακατασκευή απομακρύνει τον επιτιθέμενο, αλλά και κάθε ίχνος. Όποιος επενδύσει μία ώρα στη διασφάλιση αποδεικτικών μπορεί αργότερα να πει τι συνέβη.
Συνέχεια →050Δημιουργία του χρονολογίου ενός περιστατικού
Πότε ήρθε ο επιτιθέμενος, τι έκανε, πότε το αντιληφθήκατε; Ένα καθαρό χρονολόγιο απαντά σε αυτά τα ερωτήματα και αποτελεί βάση για γνωστοποιήσεις, ασφάλιση και έκθεση.
Συνέχεια →051Σύγκριση των βασικών αρχείων του CMS με το πρωτότυπο
Η σύγκριση με ένα καθαρό πρωτότυπο δείχνει κάθε τροποποιημένο αρχείο, ανεξάρτητα από το αν το γνωρίζει κάποιο εργαλείο σάρωσης. Δείτε πώς στήνετε τη σύγκριση για WordPress, έργα Composer και πακέτα συστήματος.
Συνέχεια →052Έλεγχος της βάσης δεδομένων για κώδικα που έχει εισαχθεί
Όποιος ελέγχει μόνο αρχεία χάνει το μισό. Δείτε πώς θα ψάξετε περιεχόμενο, ρυθμίσεις, triggers και λογαριασμούς της βάσης δεδομένων για κώδικα που έχει εισαχθεί, μόνο με ανάγνωση και σε αντίγραφο.
Συνέχεια →053Σαρωτές κακόβουλου λογισμικού για ιστότοπους: τι βρίσκουν και τι όχι
Ο σαρωτής δεν αναφέρει τίποτα, άρα όλα καλά; Όχι απαραίτητα. Ποια είδη σαρωτών ιστοτόπων υπάρχουν, τι βλέπει το καθένα και τι δεν μπορεί καταρχήν να δει.
Συνέχεια →Σκλήρυνση και διαμόρφωση
20 άρθρα
Απομόνωση των pools PHP-FPM ανά ιστότοπο
Ένα ξεχωριστό pool ανά ιστότοπο είναι η αρχή και όχι το τέλος. Δείτε πώς ελέγχετε τα υπάρχοντα pools και σκληραίνετε sockets, καταλήξεις, σελίδες κατάστασης, πόρους και logs.
Συνέχεια →055Σωστή ρύθμιση του memory_limit
Το memory_limit περιορίζει τη μνήμη ανά αίτημα PHP. Μετά το PHP2Shell το php.net συνιστά προσωρινά το αντίθετο. Τι ισχύει στην κανονική λειτουργία, στη μετάβαση και μετά την ενημέρωση.
Συνέχεια →056Λογικός περιορισμός των post_max_size και upload_max_filesize
Τα όρια ανεβάσματος ισχύουν σε τρία σημεία: στον διακομιστή ιστού, στην PHP και στην εφαρμογή. Δείτε πώς ορίζετε συνεπείς τιμές, μαζί με τις μεταβατικές τιμές του php.net για το PHP2Shell.
Συνέχεια →057Απενεργοποίηση του session.upload_progress: σωστά και μόνιμα
Η λύση για το CVE-2026-115560 και ένα από τα μεταβατικά μέτρα του PHP2Shell ορίζεται γρήγορα. Για να κρατήσει, πρέπει να βρίσκεται στο σωστό σημείο, να είναι κλειδωμένη και να ελέγχεται ξανά μετά από κάθε ενημέρωση.
Συνέχεια →058expose_php και κεφαλίδες Server: απόκρυψη των εκδόσεων
Η PHP, το Nginx και ο Apache αναφέρουν από προεπιλογή τον αριθμό έκδοσής τους σε κάθε απάντηση. Αυτό δεν προστατεύει από επιθέσεις, δίνει όμως στους σαρωτές μια βολική λίστα στόχων. Δείτε πώς το απενεργοποιείτε και παραμένετε ενήμεροι.
Συνέχεια →059display_errors off: απενεργοποίηση της εμφάνισης σφαλμάτων στην παραγωγή
Τα ορατά μηνύματα σφάλματος της PHP αποκαλύπτουν διαδρομές, ονόματα βάσεων δεδομένων και εκδόσεις. Δείτε πώς τα απενεργοποιείτε στην PHP, στο framework και στον διακομιστή ιστού, χωρίς να χάσετε τα σφάλματα από τα μάτια σας.
Συνέχεια →060php_admin_value: κλείδωμα ρυθμίσεων κατά της αντικατάστασης
Μια ρύθμιση ασφαλείας αξίζει λίγο, αν η εφαρμογή την αλλάζει ξανά με μία γραμμή κώδικα. Με τα php_admin_value και php_admin_flag ορίζετε δεσμευτικά τιμές για το PHP-FPM και τον Apache.
Συνέχεια →061Ορισμός ορίων μνήμης με systemd και cgroups
Το php.net συνιστά ως μεταβατικό μέτρο για το PHP2Shell memory_limit=-1 και ένα όριο μνήμης εκτός της PHP. Δείτε πώς ορίζετε αυτό το όριο με systemd και cgroups, χωρίς ένας μεμονωμένος worker να παρασύρει ολόκληρη την υπηρεσία.
Συνέχεια →062Ασφαλής διαμόρφωση του Nginx για PHP
Οι περισσότερες αδυναμίες στις εγκαταστάσεις Nginx για PHP δεν βρίσκονται στο Nginx, αλλά σε λίγες γραμμές του location της PHP. Δείτε πώς ρυθμίζετε την παράδοση στο PHP-FPM ώστε να εκτελούνται μόνο τα επιθυμητά σενάρια.
Συνέχεια →063Ασφαλής διαμόρφωση του Apache για PHP
Ο Apache είναι ευέλικτος και ακριβώς αυτό τον κάνει ευάλωτο σε λανθασμένες διαμορφώσεις. Δείτε πώς συνδέετε την PHP μέσω PHP-FPM, κλείνετε το .htaccess ως κερκόπορτα και ρυθμίζετε με ασφάλεια τις σημαντικότερες βασικές επιλογές.
Συνέχεια →064Απαγόρευση εκτέλεσης PHP σε φακέλους upload
Ένα webshell χρειάζεται δύο πράγματα: έναν φάκελο όπου μπορεί να γραφτεί και έναν διακομιστή που το εκτελεί. Δείτε πώς του αφαιρείτε το δεύτερο, και μάλιστα σε κάθε εγγράψιμο φάκελο και όχι μόνο στο uploads.
Συνέχεια →065Φιλτράρισμα αιτημάτων ανεβάσματος στο όριο του δικτύου: ευκαιρίες και κίνδυνοι
Ειδικοί συγγραφείς προτείνουν να αποκλείονται στον proxy τα αιτήματα ανεβάσματος εκτός πραγματικών διαδρομών upload, μέχρι να διορθωθεί η PHP. Αυτό μπορεί να βοηθήσει, αλλά και να παραλύσει φόρμες και παραγγελίες. Δείτε πώς προχωράτε ελεγχόμενα.
Συνέχεια →066Χρήση του ModSecurity και του OWASP Core Rule Set
Ένα δικό σας Web Application Firewall με ModSecurity και το OWASP Core Rule Set είναι δωρεάν και ισχυρό, αλλά δεν λειτουργεί μόνο του. Δείτε πώς επιλέγετε τη μηχανή, ξεκινάτε χωρίς διακοπές και συντονίζετε τους κανόνες.
Συνέχεια →067Ρύθμιση του Fail2ban για διακομιστές ιστού
Το Fail2ban αποκλείει διευθύνσεις που εμφανίζονται επανειλημμένα στα logs. Για διακομιστές ιστού διαθέτει έτοιμα φίλτρα και με λίγες γραμμές προστίθενται δικά σας. Δείτε πώς το ρυθμίζετε χωρίς να αποκλείσετε τον εαυτό σας ή τους πελάτες σας.
Συνέχεια →068Firewall για διακομιστές ιστού: άνοιγμα μόνο των απαραίτητων θυρών
Ένας διακομιστής ιστού χρειάζεται προς τα έξω συνήθως μόνο δύο θύρες. Παρ' όλα αυτά σε πολλούς διακομιστές ακούν στο διαδίκτυο βάσεις δεδομένων, PHP-FPM ή περιβάλλοντα διαχείρισης. Δείτε πώς εντοπίζετε ανοιχτές υπηρεσίες και κλείνετε ό,τι δεν χρειάζεται.
Συνέχεια →069Αυτόματες ενημερώσεις ασφαλείας σε διακομιστές Linux
Σύμφωνα με αναφορές, οι διανομές παρέδωσαν backports της PHP εν μέρει ήδη στις 21 Οκτωβρίου 2026, την ημέρα των patches. Όποιος χρησιμοποιεί αυτόματες ενημερώσεις ασφαλείας τα είχε γρήγορα στον διακομιστή. Για να ισχύουν χρειάζονται επανεκκινήσεις, εξωτερικές πηγές και έλεγχος.
Συνέχεια →070Least Privilege: τα δικαιώματα του χρήστη του διακομιστή ιστού
Ο κώδικας που εισάγεται εκτελείται με τα δικαιώματα του χρήστη του διακομιστή ιστού. Όσα επιτρέπονται σε αυτόν τον λογαριασμό καθορίζουν πόσο μακριά θα φτάσει ένας επιτιθέμενος. Δείτε πώς περιορίζετε shell, sudo, cron, βάση δεδομένων και σύστημα αρχείων στα απολύτως απαραίτητα.
Συνέχεια →071Απομόνωση περιοχών διαχείρισης με IP, VPN ή πρόσθετη προστασία
Γιατί το backend ενός ιστοτόπου δεν χρειάζεται να είναι προσβάσιμο από όλο τον κόσμο και πώς το περιορίζετε με λίστα επιτρεπόμενων IP, VPN ή προηγούμενη σύνδεση, χωρίς να κλειδωθείτε έξω.
Συνέχεια →072Σωστή ρύθμιση του TLS και του HTTPS
Ποιες εκδόσεις TLS και cipher suites πρέπει να προσφέρει σήμερα ένας διακομιστής ιστού, σε τι βασίζονται οι συστάσεις και πώς ελέγχετε το Nginx, το Apache και τις εξερχόμενες συνδέσεις της PHP.
Συνέχεια →073CIS Benchmarks και ενότητες BSI για διακομιστές ιστού
Ποια πρότυπα σκλήρυνσης υπάρχουν για διακομιστές ιστού Linux, πώς διαφέρουν τα CIS Benchmarks από τις ενότητες του IT-Grundschutz και πώς φτιάχνετε από αυτά μια ελέγξιμη προδιαγραφή για τους διακομιστές PHP σας.
Συνέχεια →Ασφαλής ανάπτυξη
16 άρθρα
Ασφαλής αποθήκευση κωδικών στην PHP: σωστή χρήση του password_hash
Πώς αποθηκεύουν οι προγραμματιστές κωδικούς στην PHP με τα password_hash και password_verify, πώς επιλέγουν την κατάλληλη μέθοδο και πώς αντικαθιστούν παλιά hashes MD5 ή SHA-1 χωρίς επαναφορά κωδικού για όλους τους χρήστες.
Συνέχεια →075Προστασία από CSRF σε εφαρμογές PHP
Πώς αποτρέπουν οι προγραμματιστές το Cross-Site Request Forgery σε εφαρμογές PHP: tokens για κάθε αίτημα που αλλάζει δεδομένα, έλεγχος προέλευσης στην κεφαλίδα και cookies SameSite ως πρόσθετο επίπεδο.
Συνέχεια →076Επικύρωση και φιλτράρισμα εισόδου στην PHP με το filter_var
Πώς ελέγχουν οι προγραμματιστές την είσοδο στην PHP με τα filter_var, filter_input_array και λίστες επιτρεπόμενων τιμών, ποια φίλτρα είναι παρωχημένα και γιατί η επικύρωση δεν αντικαθιστά τα prepared statements και την κωδικοποίηση εξόδου.
Συνέχεια →077Αποτροπή του Command Injection στην PHP
Πώς αποφεύγουν οι προγραμματιστές το Command Injection στην PHP: αντικατάσταση εντολών συστήματος με συναρτήσεις PHP, χρήση του proc_open χωρίς shell, έλεγχος ορισμάτων και εντοπισμός επικίνδυνων σημείων στον υπάρχοντα κώδικα.
Συνέχεια →078Αποτροπή του Server-Side Request Forgery (SSRF) στην PHP
Πώς εμποδίζουν οι προγραμματιστές μια εφαρμογή PHP να ερωτά εσωτερικά συστήματα για λογαριασμό τρίτων: λίστες επιτρεπόμενων, περιορισμός πρωτοκόλλων, έλεγχος της επιλυμένης διεύθυνσης και όρια στο δίκτυο.
Συνέχεια →079Αποτροπή των XML External Entities (XXE) στην PHP
Πώς επεξεργάζονται οι προγραμματιστές το XML στην PHP με ασφάλεια: η προεπιλεγμένη συμπεριφορά του libxml, επικίνδυνες επιλογές όπως το LIBXML_NOENT, προστασία με entity loader και LIBXML_NO_XXE και τυπικές κρυφές εισόδους XML.
Συνέχεια →080Type Juggling στην PHP: οι χαλαρές συγκρίσεις ως κίνδυνος ασφαλείας
Γιατί οι χαλαρές συγκρίσεις με == στην PHP μπορούν να οδηγήσουν σε ευπάθειες, τι άλλαξε με την PHP 8.0 και πώς γράφετε στιβαρές συγκρίσεις σε συνδέσεις, tokens και δικαιώματα.
Συνέχεια →081Ασφαλείς τυχαίοι αριθμοί και tokens στην PHP με το random_bytes
Πώς δημιουργούν οι προγραμματιστές στην PHP tokens για συνδέσμους κωδικών, κλειδιά API και κωδικούς μίας χρήσης: κρυπτογραφικά ασφαλείς πηγές, επαρκές μήκος, αποθήκευση ως hash και περιορισμένη διάρκεια ισχύος.
Συνέχεια →082Σωστή προστασία στοιχείων πρόσβασης και αρχείων .env
Πώς προστατεύετε κωδικούς βάσης δεδομένων, κλειδιά API και άλλα μυστικά σε έργα PHP: αρχεία .env εκτός του webroot, αποκλεισμός στον διακομιστή ιστού, αυστηρά δικαιώματα και οργανωμένη αντικατάσταση μετά από περιστατικό.
Συνέχεια →083Δημόσιος φάκελος .git: μια υποτιμημένη διαρροή δεδομένων
Γιατί ένα webroot που ανεβαίνει με Git μπορεί να αποκαλύψει ολόκληρο τον πηγαίο κώδικα μαζί με το ιστορικό, πώς το ελέγχετε, το αποκλείετε άμεσα και στήνετε μόνιμα το deployment χωρίς φάκελο .git.
Συνέχεια →084Αρχεία backup στο webroot: .zip, .sql και .bak
Γιατί τα dumps βάσεων δεδομένων, τα αρχεία και τα αντίγραφα ασφαλείας στον δημόσιο φάκελο συγκαταλέγονται στις πιο συχνές διαρροές δεδομένων, πώς τα βρίσκετε, τα αποκλείετε και διευκρινίζετε αν ανακτήθηκαν.
Συνέχεια →085Αρχεία phpinfo(): γιατί πρέπει να εξαφανιστούν
Μετά το PHP2Shell πολλοί διαχειριστές δημιούργησαν γρήγορα ένα info.php. Γιατί τέτοια αρχεία αποτελούν διαρροή δεδομένων, πώς τα βρίσκετε και ποιοι τρόποι ελέγχου είναι καλύτεροι.
Συνέχεια →086Διατήρηση των εξαρτήσεων ενημερωμένων: Composer, npm και πρόσθετα
Ένα έργο αποτελείται από τρεις κόσμους πακέτων: Composer, npm και πρόσθετα CMS. Πώς τους διατηρείτε και τους τρεις ενημερωμένους με σταθερό ρυθμό, σαφή αρμοδιότητα και δοκιμές.
Συνέχεια →087Code review ασφαλείας για έργα PHP
Πώς εξετάζουν οι ομάδες τον δικό τους κώδικα PHP στοχευμένα για ευπάθειες ασφαλείας: είδη reviews, κρίσιμες συναρτήσεις, χρήσιμα εργαλεία και μια λίστα ελέγχου.
Συνέχεια →088Ασφαλές logging: καταγραφή σφαλμάτων χωρίς διαρροή δεδομένων
Τα logs βοηθούν στην αναζήτηση σφαλμάτων και στη δικανική ανάλυση, γίνονται όμως εύκολα το ίδιο διαρροή δεδομένων. Τι πρέπει να καταγράφουν οι εφαρμογές PHP, τι ποτέ και πώς προστατεύονται τα logs.
Συνέχεια →089Προστασία REST API στην PHP
Οι διεπαφές είναι συχνά χειρότερα προστατευμένες από τον ιστότοπο που βρίσκεται μπροστά τους. Οι σημαντικότεροι κανόνες για REST API στην PHP, από το δικαίωμα ανά αντικείμενο έως τον περιορισμό ρυθμού.
Συνέχεια →Διοίκηση και νομικά
14 άρθρα
Συμβάσεις παρόχων IT: σαφής ρύθμιση των υποχρεώσεων ασφαλείας
Το PHP2Shell έδειξε πόσο συχνά είναι ασαφές ποιος πρέπει να κάνει τα patches. Ποιες υποχρεώσεις ασφαλείας ανήκουν σε συμβάσεις με πρακτορεία, παρόχους φιλοξενίας και παρόχους IT.
Συνέχεια →091Εκτέλεση της επεξεργασίας όταν πάροχοι έχουν πρόσβαση σε διακομιστές
Όποιος αφήνει τρίτους σε διακομιστές με δεδομένα πελατών χρειάζεται συνήθως ένα AVV (σύμβαση εκτέλεσης της επεξεργασίας). Τι απαιτεί το άρθρο 28 ΓΚΠΔ και πώς οργανώνετε τις προσβάσεις σε έκτακτη ανάγκη σύμφωνα με την προστασία δεδομένων.
Συνέχεια →092Διαχείριση ευπαθειών για μικρομεσαίες επιχειρήσεις
Καμία μικρομεσαία επιχείρηση δεν μπορεί να χειριστεί άμεσα κάθε ειδοποίηση. Ένας λιτός κύκλος καταγραφής, αξιολόγησης, απόφασης και τεκμηρίωσης φροντίζει να γίνεται πρώτο ό,τι είναι σημαντικό.
Συνέχεια →093Να ξέρετε τι λειτουργεί: απογραφή όλων των ιστότοπων και διακομιστών
Στο PHP2Shell πολλοί δεν δυσκολεύτηκαν με το patch, αλλά με το ερώτημα πού λειτουργεί καν PHP. Έτσι δημιουργείτε μια απογραφή όλων των ιστότοπων και διακομιστών.
Συνέχεια →094Διαχείριση ενημερώσεων ως διαδικασία αντί για πυροσβεστική δράση
Όποιος εφαρμόζει patch μόνο όταν «καίγεται», χάνει χρόνο σε περίπτωση έκτακτης ανάγκης. Πώς μια διαδικασία διαχείρισης patch με σταθερές κλάσεις, παράθυρα και αποδείξεις συνδέει ρουτίνα και έκτακτη ανάγκη.
Συνέχεια →095Επαφές έκτακτης ανάγκης: ποιος πρέπει να ενημερωθεί και πότε;
Σε περίπτωση έκτακτης ανάγκης μετράει ποιον θα βρείτε και πότε. Πώς φτιάχνετε μια λίστα επαφών έκτακτης ανάγκης IT, με αφορμές ενεργοποίησης, αναπληρωτές και τα στοιχεία που χρειάζεται κάθε κλήση.
Συνέχεια →096Πόσο κοστίζει ένας παραβιασμένος διακομιστής: τα κονδύλια κόστους
Ένας παραβιασμένος διακομιστής ιστού προκαλεί περισσότερα κόστη από την επισκευή. Ποια κονδύλια προκύπτουν και πώς θεμελιώνετε με δικούς σας αριθμούς έναν προϋπολογισμό πρόληψης.
Συνέχεια →097Ενημέρωση των πελατών μετά από ένα περιστατικό
Είτε είναι υποχρέωση είτε εθελοντική: πώς αποφασίζετε μετά από ένα περιστατικό ποιον θα ενημερώσετε, ποια κανάλια είναι ασφαλή και πώς προετοιμάζεται η εξυπηρέτηση πελατών.
Συνέχεια →098Η αλυσίδα εφοδιασμού στον ιστό: πρακτορείο, πάροχος φιλοξενίας, πάροχος πρόσθετων
Το PHP2Shell έδειξε πόσοι κρίκοι μεσολαβούν μεταξύ ενός patch και του ιστότοπού σας. Πώς γνωρίζετε, θωρακίζετε και αντιμετωπίζετε τις αστοχίες επιμέρους κρίκων της αλυσίδας εφοδιασμού του ιστότοπού σας.
Συνέχεια →099Ευαισθητοποίηση ασφάλειας για διαχειριστές και συντάκτες: security awareness στην ομάδα ιστού
Όποιος συντηρεί ιστότοπους αποφασίζει καθημερινά για την ασφάλεια, συχνά χωρίς να το αντιλαμβάνεται. Πώς εκπαιδεύετε διαχειριστές και συντάκτες ανά ρόλο και χωρίς μάχη διαφανειών.
Συνέχεια →100Άσκηση έκτακτης ανάγκης στο τραπέζι: παίξτε ένα περιστατικό διακομιστή ιστού
Μια άσκηση στο τραπέζι κοστίζει ένα απόγευμα και δείχνει αν το σχέδιο έκτακτης ανάγκης αντέχει. Εδώ θα βρείτε ένα έτοιμο σενάριο για ένα περιστατικό σε διακομιστή ιστού PHP.
Συνέχεια →101ISO 27001 και TISAX: τι αφορά τους διακομιστές ιστού
Όποιος λειτουργεί ΣΔΑΠ (ISMS) κατά ISO 27001 ή διαθέτει ετικέτα TISAX, πρέπει να λαμβάνει υπόψη και τους διακομιστές ιστού. Εδώ θα βρείτε ποιες απαιτήσεις τους αγγίζουν και ποια αποδεικτικά μετράνε μετά το PHP2Shell.
Συνέχεια →102VdS 10000: ασφάλεια πληροφοριών για μικρές και μεσαίες επιχειρήσεις
Το VdS 10000 είναι ένα λιτό πλαίσιο ασφάλειας πληροφοριών για τις μεσαίες επιχειρήσεις. Τι απαιτεί, τι νέο έφερε το 2025 και τι σημαίνει για ιστότοπους και διακομιστές ιστού.
Συνέχεια →103Lessons learned: γίνετε καλύτεροι μετά το περιστατικό
Μετά το περιστατικό είναι πριν από το επόμενο. Μια δομημένη αναθεώρηση χωρίς απόδοση ευθυνών κάνει από μια κακή εβδομάδα μετρήσιμη πρόοδο.
Συνέχεια →Βοήθημα λήψης αποφάσεων
10 άρθρα
Patch, απενεργοποίηση ή αναμονή; Ένα βοήθημα απόφασης για την ευπάθεια της PHP
Σε μια κρίσιμη ευπάθεια PHP οι υπεύθυνοι πρέπει να αποφασίσουν γρήγορα. Αυτό το βοήθημα κατατάσσει τις τρεις επιλογές, αναφέρει κριτήρια και δείχνει πότε η αναμονή είναι δικαιολογημένη.
Συνέχεια →105WAF ή ενημέρωση: γιατί χρειάζεστε και τα δύο
Ένα Web Application Firewall μπορεί να αναχαιτίσει επιθέσεις, αλλά δεν κλείνει μια ευπάθεια στον διερμηνέα PHP. Πότε βοηθά ένα WAF, πού τελειώνει και πώς συνδυάζετε λογικά και τα δύο.
Συνέχεια →106Εγκατάσταση από την αρχή ή καθαρισμός; Η απόφαση μετά από μια προσβολή
Μετά από μια παραβίαση υπάρχουν δύο δρόμοι: καθαρισμός ή ανοικοδόμηση του διακομιστή. Ποια κριτήρια αποφασίζουν και γιατί η σειρά είναι σημαντικότερη από την επιλογή.
Συνέχεια →107Να διορθώσετε μόνοι σας ή να καλέσετε πάροχο υπηρεσιών; Μια ειλικρινής στάθμιση
Δεν χρειάζεται κάθε κατάσταση ασφαλείας εξωτερική βοήθεια. Με αυτά τα κριτήρια και έναν σύντομο αυτοέλεγχο αποφασίζετε αν η ομάδα σας αντιμετωπίζει το PHP2Shell μόνη ή χρειάζεται υποστήριξη.
Συνέχεια →108Επιλογή παρόχου υπηρεσιών ασφάλειας IT: 12 ερωτήσεις πριν από την ανάθεση
Υπό πίεση χρόνου είναι δύσκολο να βρείτε έναν καλό πάροχο ασφάλειας. Αυτές οι δώδεκα ερωτήσεις βοηθούν να συγκρίνετε αντικειμενικά τις προσφορές, χωρίς να πέσετε σε διαφημιστικές υποσχέσεις.
Συνέχεια →109Managed hosting ή δικός σας διακομιστής; Η σύγκριση ασφάλειας
Το PHP2Shell ήταν δοκιμασία αντοχής για κάθε μοντέλο λειτουργίας. Η σύγκριση δείχνει πότε το managed hosting είναι ασφαλέστερο, πότε ο δικός σας διακομιστής και ποιες μικτές μορφές έχουν αποδειχθεί.
Συνέχεια →110Αναβάθμιση PHP ή backport; Η απόφαση για παλιά συστήματα
Για παλιές εκδόσεις PHP υπάρχουν μετά το PHP2Shell πολλοί δρόμοι: backport της διανομής, τρίτη πηγή, patch πηγαίου κώδικα, μακροχρόνια υποστήριξη ή αναβάθμιση. Τι αξίζει ο καθένας και πόσο αντέχει.
Συνέχεια →111Να αλλάξετε CMS μετά το hack; Πότε βοηθά και πότε όχι
Μετά από μια παραβίαση η εμπιστοσύνη στο CMS συχνά χάνεται. Ένα νέο σύστημα όμως σπάνια λύνει την πραγματική αιτία. Πότε έχει νόημα η αλλαγή και πώς γίνεται καθαρά.
Συνέχεια →112Στατικοί ιστότοποι: λιγότερη PHP, μικρότερη επιφάνεια επίθεσης
Ένας στατικός ιστότοπος παραδίδει έτοιμα αρχεία HTML και δεν χρειάζεται PHP στον διακομιστή. Αυτό μειώνει σημαντικά την επιφάνεια επίθεσης, φέρνει όμως δικά του όρια και υποχρεώσεις.
Συνέχεια →113Pentest, bug bounty ή σάρωση ευπαθειών; Επιλέξτε την κατάλληλη μέθοδο ελέγχου
Η σάρωση, η δοκιμή διείσδυσης και το bug bounty ελέγχουν ιστότοπους με εντελώς διαφορετικό τρόπο. Τι προσφέρει κάθε μέθοδος, πού αποτυγχάνει και ποια σειρά ταιριάζει στην επιχείρησή σας.
Συνέχεια →Κάθε ώρα μετράει. Γράψτε μας τώρα.
Περιγράψτε σύντομα το σύστημα, την έκδοση PHP και ό,τι παρατηρείτε. Θα επικοινωνήσουμε μαζί σας, θα διευκρινίσουμε την κατάσταση και θα εργαστούμε εξ αποστάσεως μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί.