Εν συντομία: Το BSI (Bundesamt für Sicherheit in der Informationstechnik, η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) κήρυξε για το PHP2Shell επίπεδο προειδοποίησης 3 (πορτοκαλί). Η σύσταση είναι σαφής: ενημερώστε αμέσως την PHP και, αν αυτό δεν είναι άμεσα δυνατό, αποσυνδέστε προσωρινά τους επηρεαζόμενους διακομιστές ιστού από το δίκτυο. Το BSI υπολόγιζε γρήγορη εκμετάλλευση σε μεγάλη κλίμακα· επιβεβαιωμένες επιτυχημένες επιθέσεις σε ευρεία κλίμακα δεν ήταν αρχικά γνωστές.
Η προειδοποίηση του BSI για την PHP εν συντομία
Η Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών είναι η κεντρική επιστημονική αρχή για την κυβερνοασφάλεια στη Γερμανία. Για το PHP2Shell δημοσίευσε προειδοποίηση επιπέδου 3 (πορτοκαλί). Αφορμή είναι δύο κρίσιμες ευπάθειες στην ίδια την PHP: τα CVE-2026-109618 και CVE-2026-109619, και τα δύο με βαθμολογία CVSS v4.0 9,2. Επιτρέπουν στους επιτιθέμενους να εκτελέσουν κακόβουλο κώδικα στον διακομιστή χωρίς σύνδεση.
Τα βασικά σημεία της προειδοποίησης συνοψίζονται ως εξής:
| Δήλωση | Σημασία για τους φορείς λειτουργίας |
|---|---|
| Επίπεδο προειδοποίησης 3 / πορτοκαλί | σοβαρή κατάσταση, απαιτούνται ενέργειες |
| Συνιστάται άμεση ενημέρωση | εφαρμογή διορθωμένων εκδόσεων PHP |
| Διαφορετικά προσωρινή αποσύνδεση από το δίκτυο | υποταγή της προσβασιμότητας στην προστασία |
| Αναμένεται γρήγορη εκμετάλλευση σε μεγάλη κλίμακα | μην περιμένετε τις πρώτες αναφορές ζημιών |
| Επιτυχημένες επιθέσεις σε ευρεία κλίμακα δεν επιβεβαιώθηκαν αρχικά | κανένας λόγος για άρση συναγερμού |
Την εκάστοτε τρέχουσα έκδοση θα τη βρείτε στον ιστότοπο του BSI.
Τι σημαίνει πρακτικά «ενημερώστε αμέσως»
Το έργο PHP δημοσίευσε στις 21/10/2026 στις 14:00 UTC (16:00 ώρα Γερμανίας) τις διορθωμένες εκδόσεις: PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις, μόνο ελάχιστα backports πηγαίου κώδικα για τις 7.4, 8.0 και 8.1.
Μια ενημέρωση είναι ενεργή μόνο όταν έχουν επανεκκινηθεί όλες οι διεργασίες PHP. Τα νέα αρχεία από μόνα τους δεν αρκούν, όσο εκτελούνται παλιοί workers στη μνήμη. Επιπλέον ισχύει: οι διανομές και οι πάροχοι φιλοξενίας εφαρμόζουν ορισμένες φορές τις διορθώσεις ως backport. Τότε για παράδειγμα το Plesk εξακολουθεί να εμφανίζει 8.2.34, παρότι έχει γίνει patch. Καθοριστικά είναι το επίπεδο των πακέτων και η επιβεβαίωση του παρόχου. Και μια ενημέρωση CMS, για παράδειγμα του WordPress, δεν κλείνει την ευπάθεια της PHP.
Όταν μια ενημέρωση δεν είναι άμεσα δυνατή
Για αυτή την περίπτωση το BSI συνιστά να αποσυνδέονται προσωρινά οι διακομιστές ιστού από το δίκτυο. Είναι ένα σκληρό μέτρο, αλλά σαφές. Για πολλές επιχειρήσεις μια προγραμματισμένη διακοπή λίγων ωρών είναι λιγότερο επιζήμια από μια παραβίαση με διαρροή δεδομένων.
Το php.net αναφέρει επιπλέον προσωρινά μέτρα που μειώνουν τον κίνδυνο, αλλά ρητά δεν προσφέρουν πλήρη προστασία. Σε αυτά ανήκουν το session.upload_progress.enabled=0 στη διαμόρφωση του διακομιστή, περιορισμένες τιμές post_max_size, όρια μνήμης μέσω container ή cgroups και στην PHP 8.5 το fatal_error_backtraces=0, και στις περιπτώσεις με επακόλουθη επανεκκίνηση όλων των workers. Λεπτομέρειες υπάρχουν στη σελίδα Άμεσα μέτρα χωρίς patch.
Αν ένας δημόσια προσβάσιμος διακομιστής ιστού εκτελείται ακόμη με PHP χωρίς patch και χωρίς προσωρινά μέτρα, από τη σύσταση του BSI προκύπτει: αποσυνδέστε τον διακομιστή από το δίκτυο, μέχρι να εφαρμοστεί η ενημέρωση και να επανεκκινηθούν όλες οι διεργασίες.
Κατάταξη της κατάστασης
Το BSI δεν είναι μόνο του με την εκτίμησή του. Η Cloudflare ανέφερε παρατηρημένες απόπειρες επίθεσης και διέθεσε κανόνες προστασίας, προειδοποιεί όμως ότι κανόνες που βασίζονται μόνο στα δεδομένα του αιτήματος δεν αρκούν. Η Palo Alto Networks (Unit 42) μέτρησε πάνω από 22,6 εκατομμύρια εκτεθειμένες, δυνητικά ευάλωτες εγκαταστάσεις. Σύμφωνα με δημοσιεύματα, μια πρώτη απόπειρα επίθεσης παρατηρήθηκε ήδη στις 17/10/2026, δηλαδή πριν από τη δημοσίευση των patches.
Για τους φορείς λειτουργίας προκύπτει μια νηφάλια αξιολόγηση: όποιος δεν έχει κάνει patch μέχρι σήμερα, πρέπει όχι μόνο να κάνει patch, αλλά και να ελέγξει αν έχει ήδη συμβεί κάτι. Ένα patch δεν αφαιρεί εισαχθέν κακόβουλο λογισμικό. Δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise δεν υπάρχουν· ο εντοπισμός βασίζεται σε ανάλυση συμπεριφοράς. Ο τεχνικός Τύπος συμβουλεύει να διατηρηθούν τα logs του διακομιστή από τις 20/10/2026. Υποδείξεις για την αναζήτηση υπάρχουν στη σελίδα Έχω ήδη παραβιαστεί;.
Τι σημαίνει η σύσταση για τους υπευθύνους
Μια προειδοποίηση του BSI δεν είναι νόμος. Είναι όμως η εκτίμηση της αρμόδιας επιστημονικής αρχής και μπορεί να παίξει ρόλο στη μεταγενέστερη αξιολόγηση αποφάσεων, για παράδειγμα από ασφαλιστές ή ελεγκτές. Οι διοικήσεις πρέπει γι' αυτό να τεκμηριώσουν πότε έμαθαν για την προειδοποίηση, πώς αξιολόγησαν τα δικά τους συστήματα και ποια μέτρα έλαβαν. Γενικές υποδείξεις γι' αυτό υπάρχουν στη σελίδα Ευθύνη της διοίκησης· αυτό δεν αποτελεί νομική συμβουλή.
Στην πράξη συνιστάται να μη διαβάσετε την προειδοποίηση μόνο μία φορά. Το BSI ενημερώνει τις ανακοινώσεις του όταν αλλάζει η κατάσταση, για παράδειγμα με νέα ευρήματα για την εκμετάλλευση ή για περαιτέρω ευπάθειες. Από τις 23/10/2026 υπάρχει επιπλέον μια υπόδειξη του php.net για το CVE-2026-115560, που αφορά μόνο ασυνήθιστες διαμορφώσεις και αντιμετωπίζεται επίσης με το session.upload_progress.enabled=0. Ορίστε ένα πρόσωπο που ελέγχει καθημερινά το BSI και το php.net μέχρι το τέλος της κατάστασης και διαβιβάζει τις αλλαγές στην τεχνική και στη διοίκηση. Έτσι δεν δημιουργείται χάσμα γνώσης ανάμεσα σε όσους αποφασίζουν και σε όσους υλοποιούν.
Πώς βοηθά συγκεκριμένα το PHP SOS;
- Συγκρίνουμε τους διακομιστές ιστού σας με τη σύσταση του BSI: έκδοση, επίπεδο πακέτων, επανεκκίνηση, προσβασιμότητα.
- Στο πλαίσιο της άμεσης βοήθειας PHP2Shell κάνουμε patch, επανεκκινούμε όλες τις διεργασίες και παρέχουμε απόδειξη.
- Όπου μια ενημέρωση δεν είναι άμεσα δυνατή, ορίζουμε προσωρινά μέτρα και, αν χρειαστεί, παρέχουμε μια στατική σελίδα αντικατάστασης.
- Διασώζουμε logs και ελέγχουμε για ίχνη, ώστε να αξιολογήσετε αξιόπιστα την κατάσταση μετά το patch.
Συχνές ερωτήσεις
Τι σημαίνει το επίπεδο προειδοποίησης 3 (πορτοκαλί) στο BSI;
Το χρώμα περιγράφει μια αυξημένη, σοβαρή κατάσταση απειλής που απαιτεί ενέργειες. Στο PHP2Shell το BSI το αιτιολογεί με την κρισιμότητα των ευπαθειών και την αναμενόμενη γρήγορη εκμετάλλευση. Τον ακριβή ορισμό των επιπέδων θα βρείτε στον ιστότοπο του BSI.
Πρέπει να ακολουθήσω τη σύσταση του BSI;
Μια προειδοποίηση του BSI είναι σύσταση και όχι νόμος. Αποτελεί όμως βαρύνουσα εκτίμηση της αρμόδιας επιστημονικής αρχής, στην οποία μπορούν να προσανατολίζονται ασφαλιστές, ελεγκτές και δικαστήρια. Όποιος αποκλίνει πρέπει να τεκμηριώσει τους λόγους. Αυτό δεν αποτελεί νομική συμβουλή.
Υπήρξαν σύμφωνα με το BSI ήδη επιτυχημένες επιθέσεις;
Επιβεβαιωμένες επιτυχημένες επιθέσεις σε ευρεία κλίμακα δεν ήταν αρχικά γνωστές σύμφωνα με το BSI. Το BSI υπολόγιζε όμως γρήγορη εκμετάλλευση σε μεγάλη κλίμακα. Άλλοι φορείς ανέφεραν ήδη απόπειρες επίθεσης.
Πού θα βρω την τρέχουσα έκδοση της προειδοποίησης;
Στον ιστότοπο του BSI, στις τρέχουσες προειδοποιήσεις ασφαλείας. Η κατάσταση μπορεί να αλλάξει· ελέγχετε εκεί και στο php.net τακτικά την πιο πρόσφατη κατάσταση.