Ευπάθεια PHP στο WordPress, PHP2Shell: τι πρέπει να κάνουν οι διαχειριστές

Εν συντομία: Η ευπάθεια ασφαλείας της PHP που επηρεάζει το WordPress και για την οποία γίνονται αυτή τη στιγμή αναφορές δεν βρίσκεται στο WordPress, αλλά στην PHP του διακομιστή από κάτω. Μια ενημέρωση του WordPress δεν κλείνει επομένως το PHP2Shell. Καθοριστικά είναι το επίπεδο patch της PHP, η επανεκκίνηση όλων των διεργασιών PHP και ο έλεγχος τυπικών κρυψώνων όπως οι wp-content/uploads και mu-plugins.

Γιατί μια ενημέρωση του WordPress δεν διορθώνει το PHP2Shell

Το WordPress είναι μια εφαρμογή γραμμένη σε PHP. Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 βρίσκονται ένα επίπεδο πιο κάτω, στον ίδιο τον διερμηνέα PHP. Σύμφωνα με την ομάδα της PHP επιτρέπουν την εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση. Στον Apache με mod_php επιδείχθηκε ένα exploit προτού καν εκτελεστεί κώδικας του WordPress.

Ένας ιστότοπος με ενημερωμένο core, ενημερωμένα plugins και ισχυρούς κωδικούς μπορεί επομένως να παραμένει ευάλωτος, αν η PHP από κάτω είναι παλιά. Αντίστροφα, μια PHP με patch δεν αποδεικνύει ότι δεν συνέβη τίποτα νωρίτερα. Τα παρασκήνια τα εξηγούμε στο Τι είναι το PHP2Shell;.

Ευπάθεια PHP στο WordPress: έλεγχος της έκδοσης PHP

Στο dashboard, στο Εργαλεία > Υγεία ιστότοπου > Πληροφορίες, στην ενότητα «Διακομιστής» θα βρείτε την έκδοση PHP με την οποία εκτελείται πραγματικά ο ιστότοπός σας. Αυτό είναι πιο αξιόπιστο από το php -v στη γραμμή εντολών, επειδή η γραμμή εντολών χρησιμοποιεί συχνά άλλη εγκατάσταση PHP από τον διακομιστή ιστού.

Ο αριθμός που εμφανίζεται δεν αρκεί ωστόσο από μόνος του. Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Πολλοί πάροχοι φιλοξενίας όμως ενσωματώνουν τις διορθώσεις ως backport· τότε εμφανίζεται ακόμη παλαιότερος αριθμός, παρόλο που έχει εφαρμοστεί patch. Το πώς θα διαπιστώσετε την πραγματική κατάσταση περιγράφεται στο Σωστός έλεγχος της έκδοσης PHP και του επιπέδου patch. Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του WordPress σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος στο wordpress.org.

Πού κρύβεται συχνά κακόβουλος κώδικας στο WordPress

Μετά από μια επιτυχημένη επίθεση οι δράστες συνήθως αφήνουν μια κερκόπορτα, για να επιστρέψουν και μετά το patch. Το WordPress έχει γι' αυτό γνωστά σημεία:

• wp-content/uploads/: προορίζεται για εικόνες και PDF, όχι για αρχεία PHP.
• wp-content/mu-plugins/: τα plugins «must-use» φορτώνονται αυτόματα και δεν μπορούν να απενεργοποιηθούν από το dashboard.
• wp-config.php: περιέχει τα στοιχεία πρόσβασης στη βάση δεδομένων και τα κλειδιά ασφαλείας· μια γραμμή που έχει παρεμβληθεί εδώ δύσκολα προσέχεται.
• .htaccess στον κύριο φάκελο και σε υποφακέλους: ανακατευθύνσεις μόνο για μηχανές αναζήτησης ή εκτέλεση ασυνήθιστων επεκτάσεων αρχείων.
• Themes, κυρίως το functions.php, καθώς και απενεργοποιημένα, ξεχασμένα plugins.
• Βάση δεδομένων: νέοι διαχειριστές στο wp_users, ξένο JavaScript στο wp_options ή στις αναρτήσεις.

Ακίνδυνοι πρώτοι έλεγχοι με το WP-CLI και με εργαλεία του συστήματος:

# Σύγκριση των αρχείων του core με τα επίσημα αθροίσματα ελέγχου
wp core verify-checksums
# Έλεγχος των plugins από τον κατάλογο του wordpress.org
wp plugin verify-checksums --all
# Εμφάνιση των αρχείων PHP στον φάκελο uploads
find wp-content/uploads -type f -name "*.php"
# Εμφάνιση όλων των διαχειριστών
wp user list --role=administrator

Ένα εύρημα αποτελεί αφορμή για λεπτομερή εξέταση, όχι ακόμη απόδειξη. Τα εμπορικά plugins δεν μπορούν να ελεγχθούν με αυτόν τον τρόπο. Αναλυτικά συνεχίζει ο οδηγός Εύρεση κερκόπορτων στο WordPress.

Plugins, themes και προσβάσεις διαχειριστή ως πρόσθετος κίνδυνος

Το PHP2Shell δεν χρειάζεται ευπάθεια σε plugin. Στην καθημερινότητα όμως τα plugins και τα themes παραμένουν η πιο συχνή είσοδος στους ιστοτόπους WordPress. Κάθε plugin φέρνει δικό του κώδικα, δικές του λειτουργίες ανεβάσματος και δικούς του κύκλους ενημέρωσης. Τα plugins που δεν χρησιμοποιούνται, διαγράψτε τα αντί να τα απενεργοποιείτε μόνο, επειδή τα απενεργοποιημένα αρχεία παραμένουν στον διακομιστή.

Για τα wp-login.php και wp-admin ισχύει: λίγοι διαχειριστές, προσωπικοί λογαριασμοί αντί για κοινές προσβάσεις και σύνδεση δύο παραγόντων. Αν δεν χρειάζεστε το XML-RPC, μπορεί να αποκλειστεί. Μετά από υποψία πρέπει να ανανεωθούν όλοι οι κωδικοί και τα κλειδιά ασφαλείας στο wp-config.php. Τον επεξεργαστή αρχείων του dashboard τον απενεργοποιείτε επίσης εκεί:

define( 'DISALLOW_FILE_EDIT', true );

Τι πρέπει να κάνετε τώρα ως διαχειριστής WordPress

1. Ζητήστε από τον πάροχο φιλοξενίας γραπτή επιβεβαίωση του επιπέδου patch της PHP και της επανεκκίνησης όλων των διεργασιών PHP.
2. Ζητήστε να διατηρηθούν τα logs του διακομιστή από τις 20/10/2026.
3. Πραγματοποιήστε τους παραπάνω ελέγχους ή αναθέστε τους.
4. Ενημερώστε το WordPress, τα plugins και τα themes. Αυτό είναι σωστό, αλλά δεν αντικαθιστά το βήμα 1.
5. Αν εντοπιστούν ανωμαλίες, μη συνεχίσετε απλώς τη λειτουργία του ιστοτόπου· αναθέστε τον καθαρισμό.

Μια ενημέρωση της πλατφόρμας μπορεί να κλείσει γνωστές ευπάθειες στο WordPress και στα plugins. Δεν μπορεί ούτε να επισκευάσει την PHP ούτε να αφαιρέσει εισαγόμενα αρχεία που δεν ανήκουν στο core.

Πώς βοηθά συγκεκριμένα η PHP SOS;

• Διευκρινίζουμε μαζί σας ή με τον πάροχο φιλοξενίας σας την πραγματική κατάσταση της PHP στον ιστότοπο WordPress σας, συμπεριλαμβανομένων των backports και της επανεκκίνησης.
• Διασώζουμε logs, αρχεία και βάση δεδομένων προτού αλλάξει οτιδήποτε.
• Ελέγχουμε το core, τα plugins, τα uploads, τα mu-plugins, το .htaccess και τους λογαριασμούς χρηστών για κερκόπορτες.
• Σε περίπτωση ευρημάτων, η αφαίρεση malware αναλαμβάνει τον καθαρισμό μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί· χωρίς ευρήματα, σκληραίνουμε την εγκατάσταση στο πλαίσιο της άμεσης βοήθειας PHP2Shell.

Συχνές ερωτήσεις

Πηγές

• php.net: Ανακοινώσεις ασφαλείας
• PHP 8 ChangeLog
• WordPress.org
• BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας)