Εν συντομία: Η ασφάλεια του Craft CMS εξαρτάται μετά το PHP2Shell από την PHP του διακομιστή και όχι από το Craft. Ειδικά τα πρακτορεία με πολλούς ιστότοπους Craft πρέπει τώρα να ελέγξουν κάθε διακομιστή χωριστά. Μετά το patch και την επανεκκίνηση πρέπει να ελεγχθούν τα .env, το Security Key, το devMode, η ρίζα εγγράφων και η σύγκριση του Project Config.
Τι σημαίνει το PHP2Shell για τους ιστότοπους Craft
Το Craft CMS είναι δημοφιλές στα πρακτορεία, επειδή προσφέρει ευέλικτα μοντέλα περιεχομένου και καθαρά templates. Αντίστοιχα, πολλά πρακτορεία φροντίζουν δεκάδες ιστότοπους Craft σε διαφορετικούς διακομιστές και πακέτα φιλοξενίας. Οι ευπάθειες PHP CVE-2026-109618 και CVE-2026-109619 επιτρέπουν, σύμφωνα με την ομάδα της PHP, εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση, ανεξάρτητα από την έκδοση του Craft.
Για τα πρακτορεία το σημαντικότερο ερώτημα είναι γι' αυτό οργανωτικό: ποιος ιστότοπος εκτελείται πού, με ποια PHP, και ποιος είναι αρμόδιος για την ενημέρωση; Μια λίστα όλων των εγκαταστάσεων με πάροχο φιλοξενίας, έκδοση PHP και πρόσωπο επικοινωνίας είναι το πρώτο βήμα. Πώς στηρίζουμε τα πρακτορεία σε αυτό περιγράφει το Συνεργάτης ασφαλείας για πρακτορεία.
Ασφάλεια Craft CMS: έλεγχος της έκδοσης PHP
Στο Control Panel, το Εργαλεία > Αναφορά συστήματος δείχνει την έκδοση PHP, τη βάση δεδομένων και τα εγκατεστημένα plugins. Αυτή είναι η έκδοση με την οποία εκτελείται ο ιστότοπος στον ιστό. Η κονσόλα του Craft php craft, η επεξεργασία της ουράς και τα cronjobs χρησιμοποιούν αντίθετα την PHP γραμμής εντολών. Και οι δύο πρέπει να έχουν patch.
Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Πολλοί πάροχοι φιλοξενίας ενσωματώνουν τις διορθώσεις ως backport· ο αριθμός παραμένει τότε ο ίδιος. Ποιες εκδόσεις επηρεάζονται δείχνει το Ποιες εκδόσεις PHP επηρεάζονται;. Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του Craft σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος στην τεκμηρίωση στο craftcms.com.
Το Craft επεξεργάζεται εργασίες παρασκηνίου σε μια ουρά. Αν εκτελείται ως διαρκής διεργασία κάτω από έναν διαχειριστή διεργασιών, πρέπει και αυτός να επανεκκινηθεί μετά την ενημέρωση της PHP.
Φάκελοι και διαμόρφωση στο Craft
| Θέση | Περιεχόμενο | Σημείο ελέγχου |
|---|---|---|
.env |
Στοιχεία πρόσβασης στη βάση δεδομένων, CRAFT_SECURITY_KEY, άλλα κλειδιά |
Ανανέωση τιμών μετά από υποψία |
config/general.php |
devMode, allowAdminChanges, διαδρομή προς το Control Panel |
Εισαγόμενος κώδικας PHP |
config/project/ |
Project Config ως YAML | Σύγκριση με το Git |
web/ |
Ρίζα εγγράφων με index.php, cpresources/, συχνά uploads |
Επιπλέον αρχεία PHP |
storage/ |
Logs, αρχεία χρόνου εκτέλεσης, συχνά αντίγραφα ασφαλείας της βάσης δεδομένων | Να μην είναι προσβάσιμο από το web |
templates/ |
Templates Twig | Ξένο JavaScript |
modules/, vendor/ |
Δικά σας modules και plugins | Αλλαγμένα αρχεία, composer audit |
Ένα σημείο που συχνά παραβλέπεται είναι το storage/backups/. Το Craft αποθηκεύει εκεί αντίγραφα ασφαλείας της βάσης δεδομένων, που μπορεί να περιέχουν πλήρη δεδομένα πελατών και φορμών. Αυτός ο φάκελος δεν επιτρέπεται ποτέ να βρίσκεται κάτω από τη ρίζα εγγράφων.
Ακίνδυνοι έλεγχοι στη γραμμή εντολών:
# Εμφάνιση διαφορών μεταξύ Project Config και βάσης δεδομένων
php craft project-config/diff
# Αρχεία PHP στη ρίζα εγγράφων εκτός του index.php
find web -type f -name "*.php" ! -name "index.php"
composer audit
Στην παραγωγή το devMode ανήκει στο false. Με ενεργό devMode το Craft δείχνει αναλυτικά μηνύματα σφάλματος με διαδρομές και αποσπάσματα κώδικα, που διευκολύνουν τη δουλειά των επιτιθέμενων.
Control Panel, χρήστες και plugins
Το Control Panel βρίσκεται από προεπιλογή στο /admin. Ελέγξτε ποιοι χρήστες έχουν δικαιώματα διαχειριστή και αφαιρέστε προσβάσεις πρώην υπαλλήλων και freelancers. Το Craft υποστηρίζει σύνδεση δύο παραγόντων· χρησιμοποιήστε την για όλους τους λογαριασμούς με αυξημένα δικαιώματα.
Ορίστε στην παραγωγή το allowAdminChanges σε false. Τότε τα πεδία, οι ενότητες και οι ρυθμίσεις plugins μπορούν να αλλάξουν μόνο μέσω του Project Config που έχει εκδόσεις και κάθε απόκλιση γίνεται αντιληπτή στη σύγκριση με το Git. Τα plugins από το Plugin Store φέρνουν δικό τους κώδικα PHP· ελέγξτε αν όλα συντηρούνται ακόμη και ταιριάζουν με την επιδιωκόμενη έκδοση PHP.
// config/general.php, απόσπασμα για το περιβάλλον παραγωγής
'devMode' => false,
'allowAdminChanges' => false,
Τι μπορεί μια ενημέρωση του Craft και τι όχι
Μια ενημέρωση του Craft ή ενός plugin κλείνει σφάλματα σε αυτόν τον κώδικα και μπορεί να επιτρέψει νεότερες εκδόσεις PHP. Δεν κάνει patch στην PHP, δεν επανεκκινεί ούτε το PHP-FPM ούτε την ουρά, δεν ανανεώνει ένα Security Key που έχει διαρρεύσει και δεν αφαιρεί ξένα αρχεία από το web/ ή το storage/.
Για πρακτορεία με πολλές εγκαταστάσεις Craft μετά το patch μετρά κυρίως η επαναληψιμότητα. Καταγράψτε ανά ιστότοπο ποια έκδοση PHP εκτελείται στον ιστό και στη γραμμή εντολών, πότε επιβεβαιώθηκε η επανεκκίνηση και αν οι έλεγχοι είχαν ανωμαλίες. Αυτή η επισκόπηση βοηθά σε ερωτήματα πελατών και σε μελλοντικές ανακοινώσεις. Σκεφτείτε και τα δημόσια προσβάσιμα περιβάλλοντα staging και ανάπτυξης. Εκτελούνται συχνά με devMode, παλαιότερες καταστάσεις και πραγματικά δεδομένα πελατών και ξεχνιούνται εύκολα στις ενημερώσεις. Αν υπάρχει αμφιβολία για το αν επηρεάζεται ο ιστότοπος ενός πελάτη, ενημερώστε τον πελάτη με τρόπο ουσιαστικό, αντί να περιμένετε.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγράφουμε μαζί σας όλες τις εγκαταστάσεις Craft με πάροχο φιλοξενίας, έκδοση PHP και αρμοδιότητα.
- Ζητάμε επιβεβαίωση του patch και της επανεκκίνησης ανά διακομιστή και διασώζουμε logs από τις 20/10/2026.
- Ελέγχουμε τη ρίζα εγγράφων, το
storage, τη διαμόρφωση, τους χρήστες και τη σύγκριση του Project Config. - Αν το επιθυμείτε, αναλαμβάνουμε τη διαρκή φροντίδα ασφαλείας των ιστοτόπων των πελατών σας στη σύμβαση συντήρησης ασφαλείας, και με το δικό σας όνομα.
Συχνές ερωτήσεις
Επηρεάζεται το Craft CMS από το PHP2Shell;
Το ίδιο το Craft CMS δεν έχει νέα ευπάθεια. Εκτελείται όμως σε PHP και το PHP2Shell βρίσκεται στην PHP. Κάθε εγκατάσταση Craft σε διακομιστή χωρίς patch είναι επομένως δυνητικά ευάλωτη, ανεξάρτητα από την έκδοση του Craft.
Πού δείχνει το Craft την έκδοση PHP;
Στο Control Panel, στα Εργαλεία > Αναφορά συστήματος. Εκεί αναγράφονται η έκδοση PHP, η βάση δεδομένων και τα εγκατεστημένα plugins. Ένα backport που έχει ενσωματωθεί δεν αναγνωρίζεται από τον αριθμό· αυτό το επιβεβαιώνει ο πάροχος φιλοξενίας σας.
Τι είναι το Security Key στο Craft και γιατί να το ανανεώσω;
Το Security Key από το αρχείο .env χρησιμεύει για την υπογραφή και κρυπτογράφηση δεδομένων. Όποιος το γνωρίζει μπορεί υπό συνθήκες να παραποιήσει συνεδρίες ή δεδομένα φορμών. Μετά από υποψία πρέπει να το ανανεώσετε, σε συνεννόηση με το πρακτορείο σας.
Τι προσφέρει το allowAdminChanges στο false;
Έτσι τα πεδία, οι ενότητες και οι ρυθμίσεις plugins δεν μπορούν πλέον να αλλάξουν στην παραγωγή μέσω του Control Panel. Οι αλλαγές γίνονται μόνο μέσω του Project Config που έχει εκδόσεις, κάτι που κάνει τις παραποιήσεις δυσκολότερες και πιο ορατές.