Εν ολίγοις: Μία εβδομάδα μετά την πρώτη παρατηρηθείσα απόπειρα επίθεσης, το PHP2Shell είναι επίκαιρα κυρίως ζήτημα υλοποίησης: τα patches για την PHP 8.2 έως 8.5 υπάρχουν από τις 21 Οκτωβρίου, οι μεγάλες διανομές ακολούθησαν, η BSI προειδοποιεί με επίπεδο πορτοκαλί. Παρατηρήθηκαν απόπειρες επίθεσης, επιβεβαιωμένες επιτυχείς επιθέσεις σε μεγάλη κλίμακα δεν ανέφερε αρχικά η BSI. Ανοιχτά παραμένουν οι παλιές εκδόσεις, οι διακομιστές που δεν έχουν επανεκκινηθεί και το ερώτημα τι συνέβη πριν από το patch.
Η κατάσταση σε τρεις προτάσεις
Το PHP2Shell είναι δύο κρίσιμες ευπάθειες στον ίδιο τον διερμηνέα PHP, CVE-2026-109618 και CVE-2026-109619, καθεμία βαθμολογημένη με CVSS v4.0 9.2. Επιτρέπουν εκτέλεση κώδικα εξ αποστάσεως χωρίς σύνδεση, δηλαδή την περίπτωση που φοβούνται περισσότερο οι άνθρωποι της ασφάλειας. Επηρεάζονται PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed· τον υψηλότερο κίνδυνο βλέπει η ομάδα της PHP στο mod_php.
Αυτή η επισκόπηση κατατάσσει την κατάσταση στις 25 Οκτωβρίου 2026 ανά φορέα. Τη διαδοχή ημέρα με την ημέρα θα βρείτε στη χρονολογία του PHP2Shell, εδώ μετράει η συνολική εικόνα.
Τι έχει τεκμηριωθεί μετά από μία εβδομάδα
Βέβαια είναι τα στοιχεία του έργου PHP: οι εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35 της 21ης Οκτωβρίου κλείνουν και τις δύο ευπάθειες. Για την PHP 7.4, 8.0 και 8.1 υπάρχουν μόνο ελάχιστα backports πηγαίου κώδικα, όχι επίσημες εκδόσεις. Το php.net τονίζει ότι δεν υπάρχουν πλήρη προσωρινά μέτρα και ότι η ενημέρωση είναι ο μόνος ασφαλής δρόμος.
Στις 23 Οκτωβρίου προστέθηκε μια υπόδειξη για την CVE-2026-115560. Αφορά μόνο μια ασυνήθιστη διαμόρφωση συνεδριών· ως αντιμετώπιση αναφέρει το php.net το session.upload_progress.enabled=0 μέχρι την επόμενη τακτική έκδοση διορθώσεων.
Και οι μεγάλες διανομές πήραν θέση. Ελέγξαμε τις επίσημες ανακοινώσεις:
| Πάροχος | Κατάσταση σύμφωνα με την επίσημη ανακοίνωση |
|---|---|
| Ubuntu | USN-8948-1 για 22.04, 24.04, 26.04 και 26.10· USN-8948-2 για 14.04 έως 20.04 μέσω Ubuntu Pro |
| Debian | Διορθωμένα πακέτα για bookworm (php8.2, DLA-4848-1) και trixie (php8.4, DSA-6574-1) |
| Red Hat | Δελτίο RHSB-2026-013 για RHEL 7 έως 10· ορισμένες ενημερώσεις διαθέσιμες, άλλες σε εξέλιξη |
Η Red Hat κατατάσσει την CVE-2026-109618 με δική της βαθμολόγηση ως «Important» και το αιτιολογεί με υψηλότερη πολυπλοκότητα επίθεσης. Αυτή είναι διαφορετική μέθοδος βαθμολόγησης από εκείνη του έργου PHP και δεν αποτελεί λόγο αναβολής της ενημέρωσης.
Πώς αξιολογούν την κατάσταση οι αρχές
Η BSI κήρυξε επίπεδο προειδοποίησης 3 / πορτοκαλί. Συνιστά άμεση ενημέρωση και, αν αυτή δεν γίνεται αμέσως, προσωρινή απομάκρυνση των επηρεαζόμενων διακομιστών ιστού από το δίκτυο. Η BSI υπολόγιζε σε γρήγορη εκμετάλλευση μεγάλης κλίμακας. Τι σημαίνει η κατάταξη, εξηγεί η σελίδα Τι συστήνει η BSI για το PHP2Shell.
Σύμφωνα με αναφορές, το CERT-EU θεωρεί πιθανό ότι επηρεάζονται εκδόσεις από την PHP 5 και μετά και συνιστά την απομόνωση δημόσια προσβάσιμων εφαρμογών αν δεν μπορούν να διορθωθούν έγκαιρα. Το CERT-Bund (το CERT της γερμανικής κυβέρνησης) και η εταιρεία ασφαλείας Huntress προειδοποίησαν επίσης.
Η σύσταση να γίνει, αν χρειαστεί, απενεργοποίηση, υλοποιήθηκε ορατά. Σύμφωνα με δημοσιεύματα, η πόλη Mainz έβγαλε προληπτικά την κεντρική διαδικτυακή της πύλη εκτός δικτύου· οι υπηρεσίες παρέμειναν προσβάσιμες τηλεφωνικά και μέσω email. Στην Έσση ήταν, σύμφωνα με το hessenschau, προσωρινά εκτός λειτουργίας ιστότοποι της κυβέρνησης του κρατιδίου, της BKA (Ομοσπονδιακή Υπηρεσία Ποινικής Αστυνομίας της Γερμανίας) καθώς και των πόλεων Kassel και Wiesbaden. Η Κρατική Καγκελαρία δεν ανέφερε επίθεση, οι ιστότοποι ήταν ξανά προσβάσιμοι το βράδυ. Και άλλοι δήμοι, πανεπιστήμια και κλινικές ενήργησαν παρόμοια, σύμφωνα με αναφορές.
Τι είναι γνωστό για επιθέσεις
Εδώ ο διαχωρισμός ανάμεσα σε παρατήρηση και επιβεβαίωση είναι ιδιαίτερα σημαντικός.
- Παρατηρήθηκε: Σύμφωνα με δημοσιεύματα, στις 17 Οκτωβρίου υπήρξε μια πρώτη απόπειρα επίθεσης που παρατήρησε η Amazon. Οι Cloudflare και Patchstack ανέφεραν απόπειρες επίθεσης· η Cloudflare είδε επιπλέον αλλαγμένα μοτίβα επίθεσης.
- Αναπαραγωγή: Η watchTowr αναπαρήγαγε την CVE-2026-109618, σύμφωνα με αναφορές και δική της δήλωση.
- Μη επιβεβαιωμένο: Η BSI δεν ανέφερε αρχικά επιβεβαιωμένες επιτυχείς εκμεταλλεύσεις σε μεγάλη κλίμακα. Η Huntress δεν είδε κατά τη στιγμή της ανακοίνωσής της επιθέσεις σε περιβάλλοντα συνεργατών.
- Άγνωστο: Δεν υπάρχουν δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise. Όποιος θέλει να ελέγξει αν ένας διακομιστής επηρεάστηκε, πρέπει να προσέξει μοτίβα συμπεριφοράς.
Για το μέγεθος κυκλοφορούν δύο αριθμοί. Οι ερευνητές της Unit 42 στην Palo Alto Networks κατέληξαν σε πάνω από 22,6 εκατομμύρια δυνητικά ευάλωτες εγκαταστάσεις προσβάσιμες από το δίκτυο. Η CybelAngel αναφέρει περίπου 2,24 εκατομμύρια προσβάσιμα hosts PHP, εκ των οποίων, σύμφωνα με δική της αξιολόγηση, το 59 τοις εκατό σε εκδόσεις χωρίς επικείμενη επίσημη διόρθωση. Και οι δύο μετρούν διαφορετικά πράγματα και δεν είναι άμεσα συγκρίσιμοι. Μια αξιολόγηση προσφέρει το άρθρο Πώς διαβάζουμε σωστά τους αριθμούς.
Τι παραμένει ανοιχτό
Τρία ερωτήματα καθορίζουν τις επόμενες εβδομάδες:
- Παλιές εκδόσεις: Ένα μεγάλο μέρος των προσβάσιμων εγκαταστάσεων PHP τρέχει, σύμφωνα με τις αναφερόμενες αξιολογήσεις, σε κλάδους χωρίς επίσημη διόρθωση. Το αν εμπορικές προσφορές μακροπρόθεσμης υποστήριξης καλύπτουν το PHP2Shell, πρέπει να επιβεβαιωθεί γραπτώς κάθε φορά από τον πάροχο.
- Ελλιπείς ενημερώσεις: Τα νέα πακέτα ισχύουν μόνο όταν έχουν επανεκκινηθεί όλες οι διεργασίες PHP. Η Red Hat επισημαίνει ρητά ότι μια απλή επαναφόρτωση δεν αρκεί.
- Ο χρόνος πριν από το patch: Ανάμεσα στις 17 και στις 21 Οκτωβρίου οι διακομιστές ήταν ευάλωτοι ενώ ήδη γίνονταν απόπειρες επίθεσης. Ένα patch δεν αποδεικνύει ότι σε αυτό το διάστημα δεν συνέβη τίποτα.
Φυλάξτε τα logs του διακομιστή ιστού και της PHP από τις 20 Οκτωβρίου, όπως συνιστά ο εξειδικευμένος Τύπος. Χωρίς logs, το σημαντικότερο ανοιχτό ερώτημα για τον διακομιστή σας δεν θα μπορεί να απαντηθεί αργότερα.
Τι πρέπει να ελέγξουν τώρα οι διαχειριστές
Για τη δική σας αξιολόγηση της κατάστασης αρκούν τέσσερα σημεία ελέγχου ανά διακομιστή: Βρίσκεται η PHP σε διορθωμένο επίπεδο ή σε επιβεβαιωμένο backport; Εκτελούνται όλες οι διεργασίες από την ενημέρωση και μετά; Είναι το session.upload_progress.enabled απενεργοποιημένο στον διακομιστή, όσο εκκρεμεί η ανακοίνωση για την CVE-2026-115560; Υπάρχουν ανωμαλίες από τις 17 Οκτωβρίου;
Για το τελευταίο σημείο βοηθά η σελίδα Έχω ήδη παραβιαστεί;. Μια διεργασία διακομιστή ιστού που ξεκινά shell, νέα αρχεία PHP σε φακέλους μεταφόρτωσης, άγνωστα cronjobs ή κλειδιά SSH είναι προειδοποιητικά σήματα που δικαιολογούν πιο προσεκτική διερεύνηση.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Αξιολογούμε το επίπεδο patch κάθε διακομιστή με βάση το επίπεδο πακέτων, το changelog και τους χρόνους εκκίνησης των διεργασιών.
- Όπου δεν υπάρχει διαθέσιμο patch, εφαρμόζουμε τα προσωρινά μέτρα του php.net και διευκρινίζουμε τον δρόμο προς την υποστηριζόμενη έκδοση.
- Διασώζουμε logs από τις 20 Οκτωβρίου και αναζητούμε ίχνη από την περίοδο πριν από το patch.
- Με την άμεση βοήθεια PHP2Shell συγκεντρώνουμε αυτά τα βήματα για επιχειρήσεις που χρειάζονται γρήγορα σαφήνεια.
Συχνές ερωτήσεις
Γίνεται ήδη ενεργή εκμετάλλευση του PHP2Shell;
Οι Cloudflare και Patchstack ανέφεραν απόπειρες επίθεσης. Επιβεβαιωμένες επιτυχείς επιθέσεις σε μεγάλη κλίμακα δεν ανέφερε αρχικά η BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφορικής της Γερμανίας). Η Huntress δεν είδε κατά τη στιγμή της ανακοίνωσής της επιθέσεις σε περιβάλλοντα συνεργατών.
Έχει περάσει ο κίνδυνος μετά τα patches;
Όχι. Τα patches προστατεύουν μόνο διακομιστές που τα έχουν εγκαταστήσει και έχουν επανεκκινήσει όλες τις διεργασίες PHP. Συστήματα σε PHP 8.1 και παλαιότερη παραμένουν ευάλωτα χωρίς επιβεβαιωμένο backport, και ένα patch δεν αφαιρεί κακόβουλο λογισμικό που εισήχθη νωρίτερα.
Γιατί ήταν εκτός λειτουργίας ιστότοποι αρχών;
Σύμφωνα με δημοσιεύματα, μεταξύ άλλων η πόλη Mainz και αρκετοί φορείς στην Έσση απενεργοποίησαν προληπτικά τους ιστότοπούς τους. Αυτό αντιστοιχεί στη σύσταση της BSI για διακομιστές που δεν μπορούν να ενημερωθούν αμέσως. Μια απενεργοποίηση δεν σημαίνει ότι έγινε επίθεση.
Υπάρχουν χαρακτηριστικά αναγνώρισης για μια επίθεση PHP2Shell;
Δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise δεν υπάρχουν μέχρι στιγμής. Ο εντοπισμός βασίζεται σε ανάλυση συμπεριφοράς, για παράδειγμα σε διεργασίες PHP που ξεκινούν shell ή σε νέα αρχεία PHP σε φακέλους μεταφόρτωσης.