Εν συντομία: Μια κερκόπορτα WordPress την εντοπίζετε πιο γρήγορα αν συγκρίνετε τον πυρήνα και τα plugins με τα επίσημα αθροίσματα ελέγχου μέσω WP-CLI και εξετάσετε στη συνέχεια στοχευμένα τα mu-plugins, τα uploads, το wp-config.php, τους λογαριασμούς διαχειριστή και τη βάση δεδομένων. Σημαντικό μετά το PHP2Shell: μια ενημέρωση του WordPress δεν κλείνει την ευπάθεια της PHP και δεν αφαιρεί μια υπάρχουσα κερκόπορτα.
Γιατί οι διαχειριστές WordPress πρέπει να κοιτάξουν τώρα πιο προσεκτικά
Με το PHP2Shell έγιναν γνωστές τον Οκτώβριο του 2026 δύο κρίσιμες ευπάθειες στην ίδια την PHP, οι CVE-2026-109618 και CVE-2026-109619. Επιτρέπουν την εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση, ανεξάρτητα από το πόσο φροντισμένη είναι η εγκατάσταση WordPress. Patches υπάρχουν από τις 21.10.2026, σύμφωνα με δημοσιεύματα όμως παρατηρήθηκε ήδη στις 17.10. μια πρώτη απόπειρα επίθεσης.
Όποιος ήταν ευάλωτος σε αυτό το διάστημα πρέπει να αναζητήσει ίχνη. Το WordPress είναι τυπικός στόχος, επειδή πολλές εγκαταστάσεις έχουν παρόμοια δομή και οι επιτιθέμενοι γνωρίζουν τα κρησφύγετα. Τι πρέπει να κάνουν γενικά οι διαχειριστές για το PHP2Shell, αναφέρει η σελίδα WordPress και PHP2Shell.
Εκτελέστε τους παρακάτω ελέγχους, αν είναι δυνατό, σε αντίγραφο ή μετά από αντίγραφο ασφαλείας. Οι εντολές μόνο διαβάζουν και δεν αλλάζουν τίποτα.
Πώς παρατηρείτε μια κερκόπορτα στην καθημερινότητα
Μια κερκόπορτα σχεδιάζεται ώστε να παραμένει απαρατήρητη. Παρ' όλα αυτά υπάρχουν ενδείξεις που γίνονται αντιληπτές και χωρίς τεχνικές γνώσεις. Σε αυτές ανήκουν οι ανακατευθύνσεις σε ξένους ιστότοπους που εμφανίζονται μόνο σε επισκέπτες από την αναζήτηση Google ή μόνο σε κινητές συσκευές. Εξίσου ύποπτες είναι νέες σελίδες με διαφημίσεις φαρμάκων, τυχερών παιχνιδιών ή απομιμήσεων επώνυμων προϊόντων, που εμφανίζονται στον δείκτη αναζήτησης αλλά όχι στο backend του WordPress.
Περαιτέρω ενδείξεις είναι οι προειδοποιήσεις από την Google ή το πρόγραμμα περιήγησης, οι παράπονα πελατών για spam emails από το domain σας, μια ξαφνική έντονη αύξηση της κατανάλωσης υπολογιστικού χρόνου στον πάροχο φιλοξενίας ή διαχειριστές που κανείς στην ομάδα δεν γνωρίζει. Καμία από αυτές τις ενδείξεις δεν αποδεικνύει μόνη της κερκόπορτα. Όταν εμφανίζονται περισσότερες μαζί, δεν πρέπει να αναβάλετε τους παρακάτω ελέγχους.
Ισχύει και το αντίστροφο: αν δεν παρατηρείτε τίποτα από αυτά, δεν σημαίνει ότι η εγκατάσταση είναι καθαρή. Ιδίως οι κερκόπορτες που δημιουργήθηκαν μόνο για μεταγενέστερη πρόσβαση δεν δείχνουν συχνά καμία επίδραση προς τα έξω.
Εντοπισμός κερκόπορτας WordPress: έλεγχος πυρήνα και plugins
Το WP-CLI μπορεί να συγκρίνει τα αρχεία του πυρήνα του WordPress και των plugins από το επίσημο αποθετήριο με τα δημοσιευμένα αθροίσματα ελέγχου. Κάθε απόκλιση αποτελεί συγκεκριμένη εργασία ελέγχου.
cd /var/www/meine-seite
# Αρχεία πυρήνα έναντι των επίσημων αθροισμάτων ελέγχου
wp core verify-checksums
# Plugins από το επίσημο αποθετήριο
wp plugin verify-checksums --all
# Εγκατεστημένες εκδόσεις και κατάσταση
wp plugin list
wp theme list
Εμπορικά plugins και θέματα δεν μπορούν να ελεγχθούν έτσι. Για αυτά βοηθά μόνο η σύγκριση με ένα φρεσκοκατεβασμένο αρχικό πακέτο του κατασκευαστή. Άγνωστα plugins που δεν εγκατέστησε κανείς στην ομάδα είναι πάντα ύποπτα, ακόμη και αν εμφανίζονται απενεργοποιημένα.
Τυπικά κρησφύγετα στο σύστημα αρχείων
Ορισμένα σημεία εμφανίζονται ξανά και ξανά σε παραβιασμένες εγκαταστάσεις WordPress:
wp-content/mu-plugins/: φορτώνεται αυτόματα και δεν εμφανίζεται στην κανονική λίστα plugins.wp-content/uploads/: εκεί ανήκουν εικόνες και έγγραφα, όχι αρχεία PHP.wp-config.php: πρόσθετες γραμμέςincludeήrequireστην αρχή ή στο τέλος..htaccessκαι.user.iniστον κατάλογο του ιστού και σε υποφακέλους: απροσδόκητες ανακατευθύνσεις ή αρχεία που φορτώνονται αυτόματα εκ των προτέρων.- Αρχεία στον κύριο κατάλογο, των οποίων τα ονόματα θυμίζουν αρχεία πυρήνα του WordPress, αλλά δεν ανήκουν σε αυτόν.
# Αρχεία PHP στον φάκελο uploads
find wp-content/uploads -type f -name "*.php*"
# Περιεχόμενο των Must-Use plugins
ls -la wp-content/mu-plugins/
# Όλα τα αρχεία .htaccess και .user.ini με ημερομηνία τροποποίησης
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Πρόσφατα τροποποιημένα αρχεία PHP
find . -type f -name "*.php" -newermt "2026-10-17" -ls
Γενικά μοτίβα αναζήτησης για συσκοτισμένο κώδικα περιγράφει ο οδηγός Εντοπισμός και αφαίρεση webshell.
Έλεγχος χρηστών, βάσης δεδομένων και προγραμματισμένων εργασιών
Πολλές κερκόπορτες δεν βρίσκονται καν στο σύστημα αρχείων. Ένας πρόσθετος λογαριασμός διαχειριστή αρκεί συχνά στους επιτιθέμενους για να επιστρέψουν αργότερα.
# Όλοι οι διαχειριστές με ημερομηνία εγγραφής
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Προγραμματισμένες εργασίες στο WordPress
wp cron event list
# Διεύθυνση του ιστότοπου (οι παρεμβάσεις οδηγούν σε ανακατευθύνσεις)
wp option get siteurl
wp option get home
# Άρθρα με ενσωματωμένα scripts
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
Ελέγξτε επίσης επιλογές με ασυνήθιστα μεγάλο περιεχόμενο και widgets με ξένο κώδικα. Τα ευρήματα δεν σημαίνουν αυτόματα επίθεση, επειδή και οι κώδικες παρακολούθησης ή οι ενσωματωμένοι χάρτες χρησιμοποιούν scripts. Αποφασιστικό είναι αν κάποιος στην ομάδα γνωρίζει το περιεχόμενο.
Μετά από ένα εύρημα αλλάξτε όλους τους κωδικούς πρόσβασης και τα κλειδιά ασφαλείας στο wp-config.php. Διαφορετικά οι υπάρχουσες συνδέσεις των επιτιθέμενων παραμένουν ισχυρές.
Κλείσιμο των κερκόπορτων και αποτροπή επανεμφάνισης
Αν βρήκατε κερκόπορτα, μια νέα εγκατάσταση είναι συνήθως ασφαλέστερη από την επισκευή μεμονωμένων αρχείων. Αυτή η σειρά έχει αποδειχθεί αποτελεσματική:
- Διασώστε τα ίχνη: αποθηκεύστε logs, ύποπτα αρχεία και εξαγωγή της βάσης δεδομένων με ημερομηνία.
- Φέρτε την PHP σε διορθωμένη κατάσταση και επανεκκινήστε όλες τις διεργασίες PHP.
- Εγκαταστήστε ξανά τον πυρήνα του WordPress, τα plugins και τα θέματα από αρχικές πηγές.
- Μεταφέρετε uploads και βάση δεδομένων μετά από έλεγχο, διαγράψτε τους ξένους λογαριασμούς, αλλάξτε όλες τις προσβάσεις.
- Αποτρέψτε την εκτέλεση PHP στον φάκελο uploads σε επίπεδο διακομιστή.
Για το Nginx αρκεί γι' αυτό ένα μπλοκ στη διαμόρφωση του διακομιστή:
location ~* ^/wp-content/uploads/.*\.php$ {
deny all;
}
Στον Apache πετυχαίνετε το ίδιο με έναν κανόνα στη διαμόρφωση του διακομιστή για τον φάκελο uploads. Ένα .htaccess μέσα στον ίδιο τον φάκελο uploads είναι ασθενέστερο, επειδή ένας επιτιθέμενος με δικαιώματα εγγραφής μπορεί να το αλλάξει ξανά.
Προγραμματίστε μετά τον καθαρισμό μερικές εβδομάδες στενότερης παρακολούθησης. Νέοι διαχειριστές, νέα αρχεία PHP και αλλαγές στο wp-config.php πρέπει να γίνονται άμεσα αντιληπτά κατά το διάστημα αυτό, π.χ. με τακτικό έλεγχο μέσω WP-CLI ή με παρακολούθηση αρχείων στον διακομιστή.
Πώς θα ορίσετε στη συνέχεια τα δικαιώματα αρχείων, ώστε το WordPress να γράφει μόνο εκεί όπου χρειάζεται, δείχνει ο οδηγός Δικαιώματα αρχείων στον διακομιστή ιστού.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διασώζουμε την κατάσταση της εγκατάστασης προτού αλλάξει οτιδήποτε.
- Ελέγχουμε τον πυρήνα, τα plugins, τα θέματα, τη βάση δεδομένων, τους λογαριασμούς και τη διαμόρφωση του διακομιστή για κερκόπορτες.
- Στήνουμε ξανά το WordPress από καθαρές πηγές και μεταφέρουμε μόνο ελεγμένο περιεχόμενο.
- Θωρακίζουμε τον διακομιστή και την εγκατάσταση και τεκμηριώνουμε τι βρέθηκε και τι διορθώθηκε.
Τη διαδικασία ενός καθαρισμού περιγράφει η υπηρεσία Αφαίρεση κακόβουλου λογισμικού και webshells.
Συχνές ερωτήσεις
Κλείνει μια ενημέρωση του WordPress την ευπάθεια PHP2Shell;
Όχι. Το PHP2Shell βρίσκεται στον διερμηνέα PHP και όχι στο WordPress. Μια ενημέρωση του WordPress, των θεμάτων ή των plugins δεν αλλάζει τίποτα· καθοριστικά είναι το επίπεδο PHP του διακομιστή και η επανεκκίνηση όλων των διεργασιών PHP.
Βρίσκει ένα plugin ασφαλείας όλες τις κερκόπορτες;
Όχι αξιόπιστα. Ένα plugin εκτελείται μέσα στην παραβιασμένη εγκατάσταση και μπορεί το ίδιο να έχει παραποιηθεί. Συμπληρώστε το με ελέγχους από έξω, π.χ. με αθροίσματα ελέγχου του WP-CLI και σύγκριση με καθαρά αρχικά αρχεία.
Τι είναι τα mu-plugins και γιατί είναι ύποπτα;
Τα Must-Use plugins στον φάκελο wp-content/mu-plugins φορτώνονται αυτόματα και δεν εμφανίζονται στην κανονική λίστα plugins. Οι επιτιθέμενοι το εκμεταλλεύονται συχνά, επειδή οι διαχειριστές σπάνια κοιτούν αυτόν τον φάκελο.
Μπορεί μια κερκόπορτα να κρύβεται και στη βάση δεδομένων;
Ναι. Κακόβουλος κώδικας ή ανακατευθύνσεις αποθηκεύονται συχνά σε επιλογές, άρθρα ή widgets. Επιπλέον, οι επιτιθέμενοι δημιουργούν συχνά δικούς τους λογαριασμούς διαχειριστή, τους οποίους θα βρείτε στον πίνακα χρηστών.