Εν ολίγοις: Το WAF αντί για ενημέρωση δεν λειτουργεί στο PHP2Shell. Ένα Web Application Firewall, δηλαδή ένα φίλτρο μπροστά από τον ιστότοπο, ελέγχει αιτήματα και μπορεί να αποκλείσει γνωστά μοτίβα επίθεσης. Η ίδια η ευπάθεια βρίσκεται όμως στον διερμηνέα PHP και εξαφανίζεται μόνο με την ενημέρωση και την επανεκκίνηση όλων των διεργασιών PHP. Ένα WAF είναι ένα λογικό πρόσθετο επίπεδο και μια γέφυρα για λίγες ημέρες, όχι η λύση.
Γιατί το ερώτημα τίθεται τόσο συχνά ακριβώς τώρα
Πολλοί διαχειριστές διάβασαν την εβδομάδα του PHP2Shell μια φαινομενικά καλή είδηση: η Cloudflare έχει, σύμφωνα με δικές της δηλώσεις, ενεργούς κανόνες προστασίας από τις 21/10/2026, 03:02 UTC, και για πελάτες του δωρεάν πακέτου. Όποιος βρίσκεται ούτως ή άλλως πίσω από την Cloudflare ή άλλο WAF, αναρωτιέται κατανοητά αν η ενημέρωση εξακολουθεί να είναι επείγουσα.
Η ειλικρινής απάντηση είναι ναι. Η ίδια η Cloudflare θέτει όρια: οι κανόνες βάσει μόνο των δεδομένων του αιτήματος δεν αρκούν, γι' αυτό η υπηρεσία ελέγχει επιπλέον και την απάντηση του διακομιστή. Η Cloudflare παρατήρησε επίσης τροποποιημένα μοτίβα επίθεσης. Και η προστασία ισχύει μόνο για κίνηση που περνά πράγματι μέσω της Cloudflare. Τις λεπτομέρειες για αυτόν τον πάροχο περιγράφει το Κανόνες προστασίας της Cloudflare έναντι του PHP2Shell. Εδώ εξετάζουμε τη θεμελιώδη στάθμιση, ανεξάρτητα από τον πάροχο.
Τι βλέπει ένα WAF και τι αλλάζει μια ενημέρωση
Ένα WAF βρίσκεται μπροστά από την εφαρμογή. Βλέπει κάθε αίτημα, το συγκρίνει με κανόνες και το αφήνει να περάσει, το αποκλείει ή το καταγράφει. Δεν γνωρίζει πώς επεξεργάζεται εσωτερικά το αίτημα η PHP. Οι δύο ευπάθειες του PHP2Shell προκύπτουν όμως ακριβώς εκεί: η CVE-2026-109618 σε κατάσταση εξάντλησης μνήμης (out-of-memory) ενώ τα δεδομένα του αιτήματος είναι μόνο εν μέρει αρχικοποιημένα, η CVE-2026-109619 από εσωτερική κατάσταση που παραμένει μετά από ένα αίτημα στον ίδιο worker.
Η ενημέρωση διορθώνει αυτόν τον κώδικα. Έπειτα η αιτία έχει εξαλειφθεί, ανεξάρτητα από το πώς μοιάζει ένα αίτημα. Όποιος θέλει να κατανοήσει σε ποιο σημείο της ροής ενός αιτήματος συμβαίνει αυτό, θα βρει τα βασικά στο Ο κύκλος ζωής ενός αιτήματος στην PHP.
WAF αντί για ενημέρωση: η ειλικρινής σύγκριση
| Κριτήριο | Web Application Firewall | Ενημέρωση PHP με επανεκκίνηση |
|---|---|---|
| Τι διορθώνεται; | Τίποτα, αναχαιτίζονται γνωστά μοτίβα | Η αιτία στον διερμηνέα PHP |
| Προστασία σε νέες παραλλαγές επίθεσης | Μόνο αν οι κανόνες προσαρμοστούν έγκαιρα | Ναι, η ευπάθεια δεν υπάρχει πια |
| Είναι δυνατή η παράκαμψη; | Ναι, για παράδειγμα μέσω άμεσης προσβασιμότητας του διακομιστή προέλευσης | Όχι, εφόσον έχουν επανεκκινηθεί όλες οι διεργασίες PHP |
| Ταχύτητα | Συχνά άμεσα ενεργό | Εξαρτάται από την έκδοση, την πρόσβαση και το παράθυρο συντήρησης |
| Παρενέργειες | Ψευδή συναγερμικά, διαταραγμένες φόρμες ή uploads | Σπάνιες, σε άλματα εκδόσεων απαιτούνται δοκιμές συμβατότητας |
| Όφελος στην επόμενη ευπάθεια | Υψηλό, αν συντηρείται | Κανένα, κάθε ευπάθεια χρειάζεται τη δική της ενημέρωση |
| Βοηθά στην PHP 8.1 και παλαιότερες; | Ως μετάβαση | Μόνο μέσω backport ή μετάβασης |
Ο πίνακας δείχνει γιατί και τα δύο μέτρα ανήκουν μαζί. Το WAF είναι γρήγορο και ευρύ, αλλά ποτέ πλήρες. Η ενημέρωση είναι πλήρης, αλλά μόνο για μια συγκεκριμένη ευπάθεια και δεν είναι πάντα άμεσα εφικτή.
Ένα σημείο παραβλέπεται συχνά στην πράξη: ένα WAF αλλάζει τη συμπεριφορά του ιστότοπου. Αυστηροί κανόνες μπορεί να αποκλείσουν νόμιμες παραγγελίες, φόρμες επικοινωνίας ή μεταφορτώσεις αρχείων, χωρίς να το πάρει είδηση κανείς αμέσως. Όποιος ενεργοποιεί ένα WAF σε περίοδο κρίσης, πρέπει γι' αυτό να δοκιμάσει μία φορά ο ίδιος τις σημαντικότερες διαδικασίες του ιστότοπου και να ελέγξει τα πρωτόκολλα των πρώτων ημερών για αποκλεισμένα, αλλά θεμιτά αιτήματα.
Έτσι συνδυάζετε λογικά και τα δύο
- Άμεσα: Ελέγξτε αν υπάρχει WAF και αν οι κατάλληλοι κανόνες είναι ενεργοί. Στην Cloudflare σε επί πληρωμή πακέτα, σύμφωνα με τον πάροχο, θέστε το Managed Ruleset σε Block.
- Άμεσα: Βεβαιωθείτε ότι ο διακομιστής προέλευσης είναι προσβάσιμος μόνο μέσω του WAF, για παράδειγμα με άδεια τείχους προστασίας μόνο για τα εύρη διευθύνσεών του. Διαφορετικά η προστασία πηγαίνει χαμένη.
- Μέσα στο επόμενο παράθυρο συντήρησης: Ενημερώστε την PHP σε 8.5.12, 8.4.27, 8.3.36 ή 8.2.35 ή εγκαταστήστε το επιβεβαιωμένο backport της διανομής.
- Αμέσως μετά: Επανεκκινήστε όλους τους workers και τις διεργασίες PHP και ελέγξτε ότι δεν εκτελείται πια καμία παλιά διεργασία. Τα νέα αρχεία μόνα τους δεν αρκούν· περισσότερα στο Μετά την ενημέρωση: επανεκκίνηση του PHP-FPM και όλων των workers.
- Έπειτα: Κρατήστε τους κανόνες του WAF, αξιολογήστε τα ψευδή συναγερμικά και ορίστε εξαιρέσεις στοχευμένα αντί να απενεργοποιείτε τους κανόνες συλλήβδην.
Με ένα δικό σας WAF βασισμένο στο ModSecurity και στο OWASP Core Rule Set επιτυγχάνεται κάτι παρόμοιο· τα βασικά περιγράφει το Χρήση του ModSecurity και του OWASP Core Rule Set. Μια ειδική μορφή είναι το φιλτράρισμα αιτημάτων μεταφόρτωσης εκτός πραγματικών διαδρομών μεταφόρτωσης, που προτάθηκε από ειδικούς συγγραφείς. Είναι ανεπίσημο, μπορεί να χαλάσει φόρμες και πρέπει να μπαίνει σε λειτουργία μόνο μετά από δοκιμή.
Ούτε το WAF ούτε η ενημέρωση αφαιρούν κακόβουλο λογισμικό που εισήχθη νωρίτερα. Ελέγξτε μετά το patch αν παρουσιάστηκαν ανωμαλίες από τις 17/10/2026.
Πότε δεν χρειάζεστε WAF και πότε δεν χρειάζεστε πάροχο υπηρεσιών
Ένα WAF δεν είναι υποχρεωτικό για κάθε ιστότοπο. Ένας μικρός εταιρικός ιστότοπος σε πάροχο φιλοξενίας που εφαρμόζει έγκαιρα patch στην PHP και το επιβεβαιώνει, προστατεύεται συχνά επαρκώς χωρίς δικό του WAF, εφόσον το CMS και τα πρόσθετα είναι επίκαιρα. Και όποιος μπορεί να ενημερώσει μόνος του τον διακομιστή του σε σύντομο χρόνο, δεν χρειάζεται το WAF ως γέφυρα.
Γίνεται λογικό σε e-shops, πύλες και εφαρμογές με πολλές φόρμες, σε παλιά συστήματα που δεν μπορούν να ενημερωθούν άμεσα, και όπου πρέπει να προστατεύονται κεντρικά πολλοί ιστότοποι. Πάροχο υπηρεσιών χρειάζεστε γι' αυτό μόνο αν η ρύθμιση, οι δοκιμές και η διαρκής συντήρηση δεν καλύπτονται εσωτερικά.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Ελέγχουμε αν το WAF σας βρίσκεται πράγματι μπροστά από όλες τις προσβάσεις και αν ο διακομιστής προέλευσης είναι άμεσα προσβάσιμος.
- Ρυθμίζουμε κανόνες ή τους προσαρμόζουμε και δοκιμάζουμε φόρμες, uploads και διεπαφές για παρενέργειες.
- Εγκαθιστούμε την ενημέρωση PHP, επανεκκινούμε όλες τις διεργασίες και τεκμηριώνουμε την κατάσταση.
- Όπου η ενημέρωση καθυστερεί, γεφυρώνουμε με WAF και εικονικό patching και με σταθερή ημερομηνία για το πραγματικό patch.
Συμπέρασμα
Το ερώτημα «WAF ή ενημέρωση» τίθεται λάθος. Η ενημέρωση κλείνει την ευπάθεια, το WAF κερδίζει χρόνο και αναχαιτίζει πολλά άλλα. Όποιος βασίζεται μόνο στο WAF, εξαρτάται από κανόνες που οι επιτιθέμενοι μπορούν να παρακάμψουν. Όποιος εφαρμόζει μόνο patch, βρίσκεται στην επόμενη ευπάθεια πάλι χωρίς γέφυρα.
Συχνές ερωτήσεις
Αρκεί ένα WAF ως προστασία από το PHP2Shell;
Όχι. Ένα WAF ελέγχει την κίνηση δεδομένων και μπορεί να αποκλείσει γνωστά μοτίβα επίθεσης. Η ίδια η ευπάθεια βρίσκεται στον διερμηνέα PHP και παραμένει μέχρι να ενημερωθεί και να επανεκκινηθεί η PHP. Η Cloudflare τονίζει ρητά ότι οι κανόνες της δεν αντικαθιστούν την ενημέρωση.
Προστατεύομαι αυτόματα πίσω από την Cloudflare;
Μόνο για την κίνηση που περνά πράγματι μέσω της Cloudflare. Αν ο διακομιστής προέλευσης είναι άμεσα προσβάσιμος από το διαδίκτυο, η προστασία παρακάμπτεται. Στα επί πληρωμή πακέτα πρέπει, σύμφωνα με την Cloudflare, να ελέγξετε ότι το Managed Ruleset βρίσκεται σε Block.
Αξίζει ένα WAF και μετά την ενημέρωση;
Συχνά ναι. Ένα WAF μπορεί να αναχαιτίσει μαζικές σαρώσεις, γνωστές επιθέσεις σε πρόσθετα και κατάχρηση σελίδων σύνδεσης και κερδίζει χρόνο στην επόμενη ευπάθεια. Χρειάζεται όμως συντήρηση και δοκιμές, διαφορετικά τα ψευδή συναγερμικά ενοχλούν τη λειτουργία.
Τι είναι το εικονικό patching;
Εννοείται η προσωρινή θωράκιση μιας ευπάθειας με κανόνες μπροστά από την εφαρμογή, αντί για αλλαγή του κώδικα. Είναι μια γέφυρα μέχρι την πραγματική ενημέρωση, όχι υποκατάστατο.