Εν συντομία: Το PHP2Shell είναι δύο κρίσιμες ευπάθειες στην ίδια την PHP, μέσω των οποίων επιτιθέμενοι μπορούν να εκτελέσουν κακόβουλο κώδικα χωρίς σύνδεση. Αν χρειάζεστε γρήγορα βοήθεια για αυτή την ευπάθεια ασφαλείας της PHP, αναλαμβάνουμε εξ αποστάσεως την καταγραφή, την εφαρμογή patch ή ενός προσωρινού μέτρου, την επανεκκίνηση όλων των διεργασιών PHP και μια πρώτη αναζήτηση ιχνών. Στο τέλος λαμβάνετε γραπτή απόδειξη της κατάστασης.
Βοήθεια για την ευπάθεια ασφαλείας της PHP: γιατί πρέπει να δράσετε τώρα
Στις 21/10/2026 στις 16:00 ώρα Γερμανίας το έργο PHP δημοσίευσε patches για τα CVE-2026-109618 και CVE-2026-109619. Και οι δύο ευπάθειες έχουν βαθμολογία CVSS v4.0 9,2 και επιτρέπουν την εξ αποστάσεως εκτέλεση κακόβουλου κώδικα, χωρίς να χρειάζεται να συνδεθεί κανείς. Επηρεάζονται οι συνήθεις τρόποι λειτουργίας: PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed.
Το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) εξέδωσε προειδοποίηση επιπέδου 3 (πορτοκαλί). Συνιστά άμεση ενημέρωση και, όταν αυτή δεν είναι άμεσα εφικτή, προσωρινή αποσύνδεση των διακομιστών ιστού από το δίκτυο. Η Palo Alto Networks (Unit 42) μέτρησε περισσότερες από 22,6 εκατομμύρια εκτεθειμένες, δυνητικά ευάλωτες εγκαταστάσεις. Επιβεβαιωμένες επιτυχείς επιθέσεις σε μεγάλη κλίμακα δεν ήταν αρχικά γνωστές σύμφωνα με το BSI, η Cloudflare ωστόσο ανέφερε ήδη απόπειρες επίθεσης.
Για τη διοίκηση και τους ιδιοκτήτες αυτό σημαίνει: κάθε διακομιστής PHP που είναι δημόσια προσβάσιμος αποτελεί υποψήφιο στόχο, μέχρι να αποδειχθεί το αντίθετο. Μια κατανοητή εξήγηση της ευπάθειας θα βρείτε στο Τι είναι το PHP2Shell;.
Για ποιους προορίζεται η άμεση βοήθεια για το PHP2Shell;
Για εταιρείες, πρακτορεία και δημόσιους φορείς που λειτουργούν εφαρμογές PHP και δεν μπορούν ή δεν θέλουν να διαχειριστούν μόνοι τους την κατάσταση στο απαιτούμενο βάθος. Αυτό αφορά τόσο δικούς σας root servers και vServers όσο και διακομιστές με Plesk ή cPanel, περιβάλλοντα containers και managed servers, όπου η αρμοδιότητα είναι ασαφής.
Ακόμη και όποιος έχει πάροχο φιλοξενίας χρειάζεται συχνά υποστήριξη. Πολλοί πάροχοι εφαρμόζουν backports· τότε, για παράδειγμα, το Plesk εξακολουθεί να δείχνει 8.2.34, παρότι το επίπεδο των πακέτων έχει διορθωθεί. Αντίστροφα, μπορεί να εμφανίζεται νέος αριθμός έκδοσης, ενώ παλιές διεργασίες PHP εκτελούνται ακόμη στη μνήμη. Ποιες εκδόσεις θεωρούνται διορθωμένες, δείτε στο Ποιες εκδόσεις PHP επηρεάζονται;.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγραφή: Καταγράφουμε όλες τις εγκαταστάσεις PHP, τους τρόπους λειτουργίας και τις εκδόσεις στους διακομιστές σας, μαζί με το επίπεδο των πακέτων και τις διεργασίες που εκτελούνται. Αποτέλεσμα είναι μια λίστα με τα συστήματα που επηρεάζονται, έχουν διορθωθεί ή είναι ασαφή.
- Patch ή προσωρινό μέτρο: Όπου είναι δυνατό, εγκαθιστούμε τις διορθωμένες εκδόσεις (8.5.12, 8.4.27, 8.3.36, 8.2.35) ή τα πακέτα της διανομής σας. Αν αυτό δεν γίνεται αμέσως, εφαρμόζουμε τα προσωρινά μέτρα σύμφωνα με το php.net και λέμε ανοιχτά ότι δεν προσφέρουν πλήρη προστασία.
- Επανεκκίνηση και έλεγχος: Επανεκκινούμε όλους τους workers και τις διεργασίες PHP και ελέγχουμε στη συνέχεια ότι δεν εκτελείται πλέον καμία παλιά διεργασία. Τα νέα αρχεία από μόνα τους δεν κλείνουν την ευπάθεια.
- Πρώτη αναζήτηση ιχνών: Διασώζουμε τα logs του διακομιστή από τις 20/10 και αναζητούμε ανωμαλίες, όπως νέα αρχεία PHP, άγνωστα cronjobs ή ασυνήθιστες διεργασίες. Επειδή δεν υπάρχουν δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise, ο έλεγχος αυτός βασίζεται σε ανάλυση συμπεριφοράς.
- Απόδειξη και επόμενα βήματα: Λαμβάνετε γραπτή αναφορά. Σε περίπτωση υπονοίας παραβίασης προτείνουμε τα κατάλληλα επόμενα βήματα, για παράδειγμα την αφαίρεση κακόβουλου λογισμικού ή μια ανάλυση ψηφιακών ιχνών (forensics).
Ένα patch δεν αφαιρεί κακόβουλο λογισμικό που έχει ήδη εισαχθεί και δεν αποδεικνύει ότι δεν συνέβη τίποτα νωρίτερα. Γι' αυτό στην άμεση βοήθεια ανήκει πάντα μια ματιά στο διάστημα από τις 17/10/2026.
Τι λαμβάνετε από εμάς
- μια επισκόπηση όλων των διακομιστών που ελέγχθηκαν, με έκδοση PHP, επίπεδο πακέτων, τρόπο λειτουργίας και κατάσταση του patch
- την τεκμηρίωση των ενημερώσεων που εφαρμόστηκαν ή των προσωρινών μέτρων που ορίστηκαν
- την απόδειξη ότι επανεκκινήθηκαν όλες οι διεργασίες PHP
- μια εκτίμηση της αναζήτησης ιχνών, χωρισμένη σε τεκμηριωμένο, πιθανό και άγνωστο
- μια λίστα με ανοιχτά σημεία, για παράδειγμα συστήματα με PHP 8.1 ή παλαιότερη
Την αναφορά αυτή μπορείτε να τη διαβιβάσετε στη διοίκηση, στον υπεύθυνο προστασίας δεδομένων ή στην ασφαλιστική σας εταιρεία. Δεν αναλαμβάνει τη νομική αξιολόγηση.
Τι χρειαζόμαστε από εσάς
- Πρόσβαση: πρόσβαση SSH ή πίνακα ελέγχου με επαρκή δικαιώματα, εναλλακτικά εξουσιοδότηση προς τον πάροχο φιλοξενίας να μας δώσει πληροφορίες
- Υπεύθυνο επικοινωνίας: ένα άτομο που μπορεί να αποφασίζει, για παράδειγμα για μια σύντομη λειτουργία εκτός σύνδεσης ή για μια επανεκκίνηση
- Επισκόπηση: ποιοι ιστότοποι, καταστήματα και εφαρμογές εκτελούνται σε ποιους διακομιστές
- Παράθυρο συντήρησης: οι προδιαγραφές σας για το πότε επιτρέπονται οι επανεκκινήσεις
- Αντίγραφα ασφαλείας: πληροφορία για το πού βρίσκονται τα πρόσφατα αντίγραφα
Για διαχειριστές που θέλουν να ελέγξουν πρώτα μόνοι τους, αρκεί συχνά αυτή η αβλαβής ματιά στην κατάσταση:
php -v
# Debian/Ubuntu: εγκατεστημένα πακέτα PHP με έκδοση
dpkg -l | grep -i php
# ενεργές διεργασίες PHP και η ώρα εκκίνησής τους
ps -eo pid,lstart,cmd | grep -i php
Τι δεν υποσχόμαστε
Δεν υποσχόμαστε απόλυτη ασφάλεια ούτε τη δήλωση ότι ο διακομιστής σας δεν δέχθηκε ποτέ επίθεση, όταν τα στοιχεία δεν το τεκμηριώνουν. Εργαζόμαστε πάνω στο περιστατικό μέχρι να ολοκληρωθεί και να τεκμηριωθεί. Το αν υπάρχει υποχρέωση γνωστοποίησης βάσει ΓΚΠΔ ή αν πρέπει να ενημερωθεί η ασφαλιστική σας εταιρεία, διευκρινίστε το με τον υπεύθυνο προστασίας δεδομένων, τον δικηγόρο ή την ασφαλιστική εταιρεία. Εμείς παρέχουμε τα τεχνικά γεγονότα για αυτό.
Αν χρειάζεστε μόνο την ενημέρωση με απόδειξη, ταιριάζει η υπηρεσία PHP patch. Αν υπάρχουν ήδη ενδείξεις επίθεσης, σωστό σημείο εκκίνησης είναι η επείγουσα βοήθεια για παραβιασμένο ιστότοπο.
Συχνές ερωτήσεις
Αρκεί που ο πάροχος φιλοξενίας ενημέρωσε την PHP;
Μπορεί να αρκεί, αν ο πάροχος επιβεβαιώσει γραπτώς την κατάσταση των πακέτων και έχουν επανεκκινηθεί όλες οι διεργασίες PHP. Ο αριθμός έκδοσης που εμφανίζεται δεν αποτελεί από μόνος του απόδειξη, επειδή οι διανομές εφαρμόζουν backports. Το αν ο διακομιστής είχε δεχθεί επίθεση πριν, δεν το απαντά ούτως ή άλλως ένα patch.
Πρέπει ο ιστότοπός μου να τεθεί εκτός λειτουργίας για την άμεση βοήθεια;
Όχι κατ' ανάγκην. Το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) συνιστά να αποσυνδέονται προσωρινά οι διακομιστές ιστού από το δίκτυο, όταν η ενημέρωση δεν είναι άμεσα εφικτή. Το αν αυτό χρειάζεται στη δική σας περίπτωση το αποφασίζουμε μαζί μετά την καταγραφή.
Προστατεύει μια ενημέρωση του WordPress ή του Shopware από το PHP2Shell;
Όχι. Το PHP2Shell βρίσκεται στην ίδια την PHP και όχι στο CMS. Μια ενημέρωση του CMS παραμένει χρήσιμη, αλλά δεν κλείνει αυτή την ευπάθεια.
Τι συμβαίνει με την PHP 8.1 ή παλαιότερη;
Για αυτές τις εκδόσεις δεν υπάρχουν πλέον επίσημες ενημερώσεις από το έργο PHP, παρά μόνο ελάχιστα backports πηγαίου κώδικα για τις 7.4, 8.0 και 8.1. Θωρακίζουμε προσωρινά τον διακομιστή και σχεδιάζουμε μαζί σας τη μετάβαση σε υποστηριζόμενη έκδοση.