Συχνές ερωτήσεις
Σύντομες απαντήσεις. Αναλυτικότερες πληροφορίες θα βρείτε στις συνδεδεμένες σελίδες γνώσης.
Τι είναι το PHP2Shell;
Με το όνομα PHP2Shell αναφερόμαστε σε δύο κρίσιμες ευπάθειες στην ίδια την PHP (CVE-2026-109618 και CVE-2026-109619, CVSS 9.2). Μπορεί να επιτρέπουν σε επιτιθέμενους να εκτελέσουν κακόβουλο κώδικα στον διακομιστή χωρίς σύνδεση. Διορθώσεις (patches) διατίθενται από τις 21/10/2026.
Ποιες εκδόσεις PHP είναι ασφαλείς;
Οι διορθώσεις περιλαμβάνονται στις εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Πάροχοι φιλοξενίας και διανομές εγκαθιστούν ορισμένες φορές backports χωρίς να αλλάζουν τον αριθμό έκδοσης. Αποφασιστικό είναι το επίπεδο του πακέτου ή η γραπτή επιβεβαίωση του παρόχου.
Αρκεί μια ενημέρωση του WordPress ή του e-shop;
Όχι. Η ευπάθεια βρίσκεται στην PHP και όχι στο CMS. Μια ενημέρωση του CMS δεν την κλείνει. Και ένα patch της PHP δεν αφαιρεί κακόβουλο κώδικα που έχει ήδη εισαχθεί νωρίτερα.
Πόσο γρήγορα μπορείτε να βοηθήσετε;
Εργαζόμαστε εξ αποστάσεως και ξεκινάμε μόλις έχουμε τις προσβάσεις. Στείλτε μας μέσω WhatsApp το σύστημα, την έκδοση PHP και ό,τι παρατηρείτε. Στη συνέχεια συμφωνούμε απευθείας τη διαδικασία.
Εργάζεστε και για πρακτορεία και πελάτες παρόχων φιλοξενίας;
Ναι. Εργαζόμαστε απευθείας για επιχειρήσεις, στο παρασκήνιο για λογαριασμό πρακτορείων και σε συντονισμό με τον πάροχο φιλοξενίας σας, όταν αυτός διαχειρίζεται τον διακομιστή.
Πρέπει να δηλώσουμε το περιστατικό;
Εάν ενδέχεται να επηρεάζονται δεδομένα προσωπικού χαρακτήρα, ισχύει κατά κανόνα βάσει του άρθρου 33 ΓΚΠΔ προθεσμία γνωστοποίησης 72 ωρών από τη στιγμή που λάβατε γνώση. Το αν εφαρμόζεται στην περίπτωσή σας το διευκρινίζετε με τον υπεύθυνο προστασίας δεδομένων σας. Εμείς παρέχουμε την τεχνική τεκμηρίωση.
Είναι το PHP2Shell ευπάθεια του WordPress;
Όχι. Οι ευπάθειες βρίσκονται στην PHP, δηλαδή στη γλώσσα προγραμματισμού πάνω στην οποία εκτελούνται το WordPress, το Shopware, το TYPO3 και πολλά άλλα συστήματα. Μια ενημέρωση του CMS δεν τις κλείνει γι' αυτό. Αποφασιστική είναι η κατάσταση της PHP στον διακομιστή.
Πρέπει να κάνω κάτι ο ίδιος ως πελάτης ενός παρόχου φιλοξενίας;
Στο shared hosting την ενημέρωση της PHP την εφαρμόζει κατά κανόνα ο πάροχος. Θα πρέπει παρ' όλα αυτά να ζητήσετε γραπτή επιβεβαίωση ότι η έκδοση PHP που χρησιμοποιείτε έχει λάβει patch και έχει επανεκκινηθεί. Το αν συνέβη κάτι πριν από το patch, δεν το απαντά η ενημέρωση.
Από πού προέρχεται το όνομα PHP2Shell;
Το όνομα περιγράφει τη συνέπεια: μέσω της PHP ένας επιτιθέμενος μπορεί, στη χειρότερη περίπτωση, να αποκτήσει μια γραμμή εντολών, δηλαδή ένα shell, στον διακομιστή. Επίσημες ονομασίες είναι οι αριθμοί CVE, CVE-2026-109618 και CVE-2026-109619.
Έχει δεχθεί ήδη επίθεση ο ιστότοπός μου, αν τέθηκε εκτός σύνδεσης;
Όχι απαραίτητα. Ορισμένοι πάροχοι έθεσαν ιστοτόπους εκτός δικτύου προληπτικά, όπως συνιστά το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) όταν μια ενημέρωση δεν είναι άμεσα εφικτή. Πρόκειται για μέτρο προστασίας και όχι για απόδειξη επίθεσης.
Αρκεί που ο πάροχος φιλοξενίας ενημέρωσε την PHP;
Μπορεί να αρκεί, αν ο πάροχος επιβεβαιώσει γραπτώς την κατάσταση των πακέτων και έχουν επανεκκινηθεί όλες οι διεργασίες PHP. Ο αριθμός έκδοσης που εμφανίζεται δεν αποτελεί από μόνος του απόδειξη, επειδή οι διανομές εφαρμόζουν backports. Το αν ο διακομιστής είχε δεχθεί επίθεση πριν, δεν το απαντά ούτως ή άλλως ένα patch.
Πρέπει ο ιστότοπός μου να τεθεί εκτός λειτουργίας για την άμεση βοήθεια;
Όχι κατ' ανάγκην. Το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) συνιστά να αποσυνδέονται προσωρινά οι διακομιστές ιστού από το δίκτυο, όταν η ενημέρωση δεν είναι άμεσα εφικτή. Το αν αυτό χρειάζεται στη δική σας περίπτωση το αποφασίζουμε μαζί μετά την καταγραφή.
Προστατεύει μια ενημέρωση του WordPress ή του Shopware από το PHP2Shell;
Όχι. Το PHP2Shell βρίσκεται στην ίδια την PHP και όχι στο CMS. Μια ενημέρωση του CMS παραμένει χρήσιμη, αλλά δεν κλείνει αυτή την ευπάθεια.
Τι συμβαίνει με την PHP 8.1 ή παλαιότερη;
Για αυτές τις εκδόσεις δεν υπάρχουν πλέον επίσημες ενημερώσεις από το έργο PHP, παρά μόνο ελάχιστα backports πηγαίου κώδικα για τις 7.4, 8.0 και 8.1. Θωρακίζουμε προσωρινά τον διακομιστή και σχεδιάζουμε μαζί σας τη μετάβαση σε υποστηριζόμενη έκδοση.
Από πότε τρέχουν οι 72 ώρες;
Σύμφωνα με το άρθρο 33 ΓΚΠΔ, από τη στιγμή που ο υπεύθυνος επεξεργασίας έλαβε γνώση της παραβίασης. Το πότε πρέπει να θεωρηθεί αυτό σε κάθε περίπτωση είναι νομική αξιολόγηση. Τεκμηριώστε γι' αυτό με ακρίβεια πότε ποιος διέθετε ποια πληροφορία.
Πρέπει να γνωστοποιείται κάθε ευπάθεια ασφαλείας;
Όχι. Μια ευπάθεια από μόνη της δεν αποτελεί ακόμη παραβίαση της προστασίας δεδομένων προσωπικού χαρακτήρα. Η γνωστοποίηση μπορεί να καταστεί υποχρεωτική όταν υπάρχουν ενδείξεις ότι μη εξουσιοδοτημένα πρόσωπα είχαν ή μπορούσαν να έχουν πρόσβαση σε τέτοια δεδομένα και προκύπτει κίνδυνος για τα θιγόμενα πρόσωπα.
Τι κάνω αν μετά από 72 ώρες δεν γνωρίζω ακόμη τα πάντα;
Το άρθρο 33 παρ. 4 ΓΚΠΔ επιτρέπει να παρέχονται οι πληροφορίες σταδιακά, όταν δεν είναι δυνατό να παρασχεθούν ταυτόχρονα. Μια εκπρόθεσμη γνωστοποίηση πρέπει να αιτιολογείται. Η αναμονή για πλήρη διαύγεια δεν αποτελεί γι' αυτό κατά κανόνα λόγο να παρέλθει η προθεσμία.
Ποιος γνωστοποιεί, αν επηρεάστηκε ο πάροχος φιλοξενίας;
Υποχρεωμένος να γνωστοποιήσει είναι ο υπεύθυνος επεξεργασίας, δηλαδή κατά κανόνα η επιχείρηση που λειτουργεί τον ιστότοπο. Ένας εκτελών την επεξεργασία, όπως ο πάροχος φιλοξενίας, πρέπει να ενημερώσει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση σύμφωνα με το άρθρο 33 παρ. 2 ΓΚΠΔ.
Πού γνωστοποιώ μια παραβίαση δεδομένων;
Στην αρμόδια εποπτική αρχή προστασίας δεδομένων, για τις επιχειρήσεις συνήθως η αρχή του κράτους μέλους ή, στη Γερμανία, του ομόσπονδου κράτους όπου εδρεύουν. Οι περισσότερες αρχές προσφέρουν γι' αυτό ηλεκτρονικές φόρμες.
Κάθε ώρα μετράει. Γράψτε μας τώρα.
Περιγράψτε σύντομα το σύστημα, την έκδοση PHP και ό,τι παρατηρείτε. Θα επικοινωνήσουμε μαζί σας, θα διευκρινίσουμε την κατάσταση και θα εργαστούμε εξ αποστάσεως μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί.