Εν συντομία: Από την ευπάθεια ασφαλείας της PHP, το PHP2Shell, επηρεάζονται οι κλάδοι 8.2 έως 8.5 μέχρι τις εκδόσεις της 21ης Οκτωβρίου 2026 και, σύμφωνα με τον ειδικό τύπο, σχεδόν όλες οι εκδόσεις μέχρι και την PHP 5.4. Έχει διορθωθεί στις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις, παρά μόνο ελάχιστα backports πηγαίου κώδικα για τις 7.4, 8.0 και 8.1.
Ποιες εκδόσεις έχει πλήξει η ευπάθεια ασφαλείας της PHP;
Το PHP2Shell περιλαμβάνει τις δύο ευπάθειες CVE-2026-109618 και CVE-2026-109619, με βαθμολογία CVSS v4.0 9,2 η καθεμία. Και οι δύο επιτρέπουν εκτέλεση κακόβουλου κώδικα εξ αποστάσεως χωρίς σύνδεση. Στις 21 Οκτωβρίου 2026 στις 14:00 UTC (16:00 ώρα Γερμανίας) το έργο PHP δημοσίευσε διορθώσεις για όλους τους υποστηριζόμενους κλάδους.
| Κλάδος PHP | Τελευταία κατάσταση πριν τη διόρθωση | Διορθώθηκε από | Υποστήριξη |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | επίσημα υποστηριζόμενη |
| 8.4 | 8.4.26 | 8.4.27 | επίσημα υποστηριζόμενη |
| 8.3 | 8.3.35 | 8.3.36 | επίσημα υποστηριζόμενη |
| 8.2 | 8.2.34 | 8.2.35 | λήγει στις 31/12/2026 |
| 8.1, 8.0, 7.4 | όλες οι καταστάσεις | καμία επίσημη έκδοση | μόνο ελάχιστα backports πηγαίου κώδικα |
| 7.3 έως 5.4 | σύμφωνα με τον ειδικό τύπο επηρεάζονται σχεδόν όλες | καμία ενημέρωση | χωρίς υποστήριξη εδώ και χρόνια |
Τα στοιχεία για τις 8.2 έως 8.5 προέρχονται από τις ανακοινώσεις του php.net. Η δήλωση για τις εκδόσεις μέχρι την PHP 5.4 προέρχεται από τον ειδικό τύπο· πλήρης επίσημος κατάλογος για παλιές εκδόσεις δεν υπάρχει.
Για όσους δεν είναι τεχνικοί, σε λίγες προτάσεις: Αν στον διακομιστή σας βρίσκεται μια έκδοση από τη στήλη «Διορθώθηκε από» ή νεότερη και στη συνέχεια επανεκκινήθηκαν όλες οι διεργασίες PHP, το PHP2Shell είναι κλειστό. Αν εκεί βρίσκεται παλαιότερος αριθμός, είτε υπάρχει backport που πρέπει να επιβεβαιώσει ο πάροχός σας, είτε η ευπάθεια είναι ανοιχτή. Ρωτήστε σε περίπτωση αμφιβολίας το τμήμα IT ή τον πάροχο φιλοξενίας ακριβώς για αυτά τα τρία σημεία: έκδοση, backport, επανεκκίνηση.
Επηρεαζόμενοι τρόποι λειτουργίας
Ο αριθμός έκδοσης είναι μόνο η μισή απάντηση. Επηρεάζονται όλοι οι συνήθεις τρόποι λειτουργίας της PHP σε διακομιστή ιστού: PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Η ομάδα της PHP κατατάσσει τον κίνδυνο στο mod_php ως τον υψηλότερο, επειδή εκεί επιδείχθηκε exploit προτού καν εκτελεστεί κώδικας της εφαρμογής. Λεπτομέρειες στο Γιατί το mod_php φέρει τον υψηλότερο κίνδυνο.
Καμία προστασία δεν προκύπτει από την εφαρμογή: είτε WordPress, Shopware, TYPO3, Laravel είτε ιδιόκτητη εφαρμογή, μια ενημέρωση της εφαρμογής δεν κλείνει την ευπάθεια στην PHP.
Backports: όταν ο αριθμός έκδοσης εξαπατά
Πολλές διανομές Linux και πάροχοι φιλοξενίας παραδίδουν την PHP σε δικά τους πακέτα. Αντί να μεταβούν σε νέα έκδοση upstream, ενσωματώνουν τη διόρθωση ως backport στην υπάρχουσα έκδοσή τους. Αυτό έχει μια πρακτική συνέπεια: ο αριθμός που εμφανίζεται παραμένει παλιός. Ένα παράδειγμα από την τρέχουσα κατάσταση είναι το Plesk, που μπορεί να εξακολουθεί να δείχνει 8.2.34, παρότι το σφάλμα έχει διορθωθεί.
Για εσάς αυτό σημαίνει: ο πίνακας παραπάνω ισχύει για τις επίσημες εκδόσεις του php.net. Στα πακέτα από τη διανομή σας ή από τον πάροχο φιλοξενίας αποφασίζουν το επίπεδο των πακέτων και η επιβεβαίωση του παρόχου. Πώς ελέγχονται και τα δύο, δείχνει το Σωστός έλεγχος έκδοσης PHP και επιπέδου patch. Για τον γρήγορο έλεγχο στη γραμμή εντολών:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, το όνομα του πακέτου διαφέρει ανά έκδοση και πηγή
dnf info php-fpm # οικογένεια RHEL
Μια διορθωμένη έκδοση στον δίσκο δεν σημαίνει ακόμη ότι εκτελείται. Μόνο μετά την επανεκκίνηση όλων των διεργασιών PHP εργάζεται ο διακομιστής με τον διορθωμένο κώδικα.
Τι ισχύει για την PHP 8.1 και παλαιότερες;
Για τις PHP 8.1, 8.0 και 7.4 υπάρχουν μόνο ελάχιστα backports πηγαίου κώδικα, δηλαδή διορθώσεις στον πηγαίο κώδικα που κάποιος πρέπει να υιοθετήσει και να μεταγλωττίσει μόνος του. Επίσημες εκδόσεις δεν εμφανίζονται. Ορισμένες διανομές με μακροχρόνια υποστήριξη ενσωματώνουν τέτοιες διορθώσεις στα πακέτα τους· το αν ισχύει για το σύστημά σας, μπορεί να διευκρινιστεί μόνο από το changelog του πακέτου ή από τον πάροχο.
Μακροπρόθεσμα δεν υπάρχει δρόμος πέρα από μια υποστηριζόμενη έκδοση. Ποια έκδοση PHP αντέχει το CMS ή το κατάστημά σας, το ελέγχετε σύμφωνα με τις απαιτήσεις συστήματος του κατασκευαστή, για παράδειγμα στο wordpress.org, shopware.com ή typo3.org. Περισσότερα στο PHP 8.1 και παλαιότερες: τι ισχύει τώρα.
Και το CVE-2026-115560;
Στις 23 Οκτωβρίου το php.net δημοσίευσε μια υπόδειξη για μια τρίτη ευπάθεια. Ενεργοποιείται μόνο σε μια ασυνήθιστη διαμόρφωση session. Διορθωμένη έκδοση δεν υπάρχει ακόμη σύμφωνα με την κατάσταση της 25ης Οκτωβρίου· μέχρι την επόμενη τακτική έκδοση διόρθωσης σφαλμάτων η λύση είναι session.upload_progress.enabled=0. Κατάλογος εκδόσεων αναμένεται μόνο με το πλήρες advisory.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Απογραφή: Καταγράφουμε όλες τις εκδόσεις PHP στους διακομιστές σας, και τις δεύτερες εγκαταστάσεις για μεμονωμένους ιστοτόπους, που ξεχνιούνται εύκολα.
- Σύγκριση: Για κάθε εγκατάσταση διευκρινίζουμε αν υπάρχει επίσημη έκδοση, backport διανομής ή καμία διόρθωση.
- Ενημέρωση με απόδειξη: Μέσω της υπηρεσίας PHP patch εφαρμόζουμε τη διόρθωση και επανεκκινούμε όλες τις διεργασίες.
- Πλάνο μετάβασης: Για εκδόσεις χωρίς επίσημες ενημερώσεις σχεδιάζουμε με τη μετάβαση από PHP 8.1 και παλαιότερες τη μετάβαση και θωρακίζουμε τον διακομιστή μέχρι τότε.
Συχνές ερωτήσεις
Είναι ακόμη ασφαλής η PHP 8.3.35;
Όχι, εφόσον ο πάροχός σας δεν έχει εφαρμόσει backport. Η 8.3.35 είναι η τελευταία κατάσταση πριν από τη διόρθωση· το PHP2Shell έχει διορθωθεί στον κλάδο 8.3 από την 8.3.36. Στα πακέτα διανομών ο αριθμός μπορεί να παραμένει ο ίδιος, παρότι το σφάλμα έχει διορθωθεί. Τότε μετρά το changelog του πακέτου ή η επιβεβαίωση του παρόχου.
Επηρεάζεται η PHP 7.4 από το PHP2Shell;
Σύμφωνα με τον ειδικό τύπο επηρεάζονται σχεδόν όλες οι εκδόσεις μέχρι και την PHP 5.4. Για τις 7.4, 8.0 και 8.1 υπάρχουν μόνο ελάχιστα backports πηγαίου κώδικα και καμία επίσημη έκδοση. Η μετάβαση σε υποστηριζόμενη έκδοση είναι ο αξιόπιστος δρόμος.
Γιατί το Plesk δείχνει 8.2.34, παρότι έχει εφαρμοστεί patch;
Οι διανομές και οι πάροχοι φιλοξενίας ενσωματώνουν εν μέρει τις διορθώσεις ως backport στα υπάρχοντα πακέτα τους. Ο αριθμός έκδοσης παραμένει τότε ο ίδιος, το σφάλμα όμως έχει διορθωθεί. Ελέγξτε το επίπεδο των πακέτων ή ζητήστε από τον πάροχο να επιβεβαιώσει το patch.
Ποια έκδοση PHP πρέπει να επιλέξω τώρα;
Μια υποστηριζόμενη έκδοση, που η εφαρμογή σας εγκρίνει σύμφωνα με τις απαιτήσεις συστήματος του κατασκευαστή. Η PHP 8.2 φτάνει στο τέλος της υποστήριξης στις 31/12/2026· όποιος αλλάζει έτσι κι αλλιώς τώρα, πρέπει να το λάβει υπόψη.