Εν συντομία: Το χρονολόγιο του PHP2Shell περιλαμβάνει μέχρι στιγμής τέσσερις τεκμηριωμένες ημερομηνίες: μια πρώτη παρατηρημένη απόπειρα επίθεσης στις 17.10., την προαναγγελία από το php.net στις 20.10., τα patches στις 21.10. στις 16:00 ώρα Γερμανίας και μια περαιτέρω ανακοίνωση για το CVE-2026-115560 στις 23.10.2026. Για τους διαχειριστές προκύπτει: ενημερώστε, επανεκκινήστε όλες τις διεργασίες PHP και διασώστε τα logs το αργότερο από τις 20.10.
Γιατί το χρονολόγιο του PHP2Shell είναι σημαντικό για τους διαχειριστές
Σε μια ευπάθεια αυτής της σοβαρότητας δεν μετράει μόνο αν ο διακομιστής σας είναι σήμερα ενημερωμένος. Αποφασιστικό είναι και για πόσο καιρό ήταν ευάλωτος πριν. Αυτό το χρονικό παράθυρο καθορίζει ποια logs θα διασώσετε, ποια αρχεία θα ελέγξετε και αν μπορείτε να αποκλείσετε με βάσιμο λόγο μια παραβίαση.
Το PHP2Shell αφορά την ίδια την PHP και όχι ένα μεμονωμένο CMS. Δύο κρίσιμες ευπάθειες, οι CVE-2026-109618 και CVE-2026-109619, επιτρέπουν την απομακρυσμένη εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση. Και οι δύο βαθμολογούνται με CVSS v4.0 9,2. Μια κατανοητή εισαγωγή θα βρείτε στη σελίδα Τι είναι το PHP2Shell;.
Το παρακάτω χρονολόγιο περιέχει μόνο ημερομηνίες που είναι τεκμηριωμένες με την κατάσταση της 25.10.2026. Όπου μια πληροφορία στηρίζεται σε δημοσιεύματα, αυτό σημειώνεται.
| Ημερομηνία | Γεγονός | Βάση |
|---|---|---|
| 17.10.2026 | Πρώτη παρατηρημένη απόπειρα επίθεσης (Amazon) | Δημοσιεύματα |
| 20.10.2026 | Προαναγγελία από το php.net | php.net |
| 21.10.2026, 14:00 UTC | Δημοσίευση των patches (16:00 ώρα Γερμανίας) | php.net |
| 23.10.2026 | Ανακοίνωση για το CVE-2026-115560 | php.net |
| 25.10.2026 | Κατάσταση αυτής της επισκόπησης | – |
17 Οκτωβρίου: η πρώτη παρατηρημένη απόπειρα επίθεσης
Σύμφωνα με δημοσιεύματα, στις 17.10.2026 παρατηρήθηκε μια πρώτη απόπειρα επίθεσης, που αναφέρθηκε από την Amazon. Αυτό συνέβη τέσσερις ημέρες πριν από τα patches. Υπήρξε δηλαδή ένα διάστημα στο οποίο γίνονταν ήδη απόπειρες επίθεσης, χωρίς να υπάρχει ακόμη ενημέρωση.
Αν και πόσες επιθέσεις είχαν επιτυχία σε αυτή τη φάση, δεν τεκμηριώνεται. Σημαντική είναι η συνέπεια για τον δικό σας έλεγχο: ένας διακομιστής που είναι σήμερα ενημερωμένος μπορεί να είχε παραβιαστεί νωρίτερα. Ένα patch δεν αφαιρεί κακόβουλο λογισμικό που έχει ήδη εισαχθεί και δεν αποδεικνύει ότι δεν συνέβη τίποτα πριν.
20 και 21 Οκτωβρίου: προαναγγελία και patches
Στις 20.10.2026 το έργο PHP ανήγγειλε τις ενημερώσεις ασφαλείας στο php.net. Στις 21.10.2026 στις 14:00 UTC, δηλαδή στις 16:00 ώρα Γερμανίας, ακολούθησαν οι διορθωμένες εκδόσεις.
| Κλάδος | Τελευταία ευάλωτη έκδοση | Διορθώθηκε στην |
|---|---|---|
| PHP 8.5 | 8.5.11 | 8.5.12 |
| PHP 8.4 | 8.4.26 | 8.4.27 |
| PHP 8.3 | 8.3.35 | 8.3.36 |
| PHP 8.2 | 8.2.34 | 8.2.35 |
Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις, μόνο ελάχιστα backports του πηγαίου κώδικα για τις 7.4, 8.0 και 8.1. Σύμφωνα με τον ειδικό τύπο επηρεάζονται σχεδόν όλες οι εκδόσεις έως και την PHP 5.4. Επηρεάζονται οι τρόποι λειτουργίας PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Τον υψηλότερο κίνδυνο βλέπει η ομάδα της PHP στο mod_php, όπου παρουσιάστηκε exploit προτού εκτελεστεί καν κώδικας της εφαρμογής.
Διανομές και πάροχοι φιλοξενίας εφαρμόζουν σε ορισμένες περιπτώσεις backports. Τότε π.χ. το Plesk εξακολουθεί να εμφανίζει 8.2.34, παρόλο που ο διακομιστής είναι ενημερωμένος. Καθοριστικά είναι το επίπεδο των πακέτων και η επιβεβαίωση του παρόχου, όχι ο αριθμός έκδοσης που εμφανίζεται. Πώς θα το ελέγξετε σωστά, θα βρείτε στη σελίδα Σωστός έλεγχος έκδοσης PHP και επιπέδου patch.
23 Οκτωβρίου: ανακοίνωση για το CVE-2026-115560
Στις 23.10.2026 το έργο PHP δημοσίευσε μια περαιτέρω ανακοίνωση, αυτή τη φορά για το CVE-2026-115560. Σύμφωνα με αυτήν, η εκμετάλλευση είναι δυνατή μόνο με ασυνήθιστη διαμόρφωση: στη διαμόρφωση ορίζεται ο serialize_handler php_binary ή php_serialize, η εφαρμογή τον αλλάζει σε php με ini_set() πριν από το session_start() και το session upload progress είναι ενεργό.
Το προσωρινό μέτρο είναι απλό και πρέπει να εφαρμοστεί ανεξάρτητα από το αν γνωρίζετε ότι έχετε αυτή τη συνδυαστική κατάσταση:
; στο php.ini, στο pool του FPM ή στη διαμόρφωση του διακομιστή
; όχι μέσω ini_set() ή .user.ini
session.upload_progress.enabled = 0
Στη συνέχεια επανεκκινήστε όλους τους workers της PHP. Η πλήρης ανακοίνωση (advisory) αναμένεται με την επόμενη τακτική έκδοση διορθώσεων. Μέχρι τότε η ρύθμιση παραμένει η συνιστώμενη προσωρινή λύση.
Κατάσταση 25 Οκτωβρίου: εικόνα και ανοιχτά ερωτήματα
Το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) κήρυξε επίπεδο προειδοποίησης 3 / πορτοκαλί. Συνιστά την άμεση ενημέρωση και, εφόσον αυτή δεν είναι άμεσα εφικτή, την προσωρινή απομάκρυνση των διακομιστών ιστού από το δίκτυο. Το BSI υπολόγιζε σε ταχεία εκμετάλλευση σε μεγάλη κλίμακα· επιβεβαιωμένες επιτυχημένες επιθέσεις σε ευρεία έκταση δεν ήταν, σύμφωνα με το BSI, αρχικά γνωστές. Την αξιολόγηση του BSI συνοψίζει η σελίδα Τι συνιστά το BSI για το PHP2Shell.
Η Cloudflare ανέφερε παρατηρημένες απόπειρες επίθεσης και έχει διαθέσει κανόνες προστασίας, προειδοποιεί όμως ότι οι κανόνες με βάση μόνο τα δεδομένα του αιτήματος δεν αρκούν. Η Palo Alto Networks (Unit 42) κατέγραψε πάνω από 22,6 εκατομμύρια εκτεθειμένες, δυνητικά ευάλωτες εγκαταστάσεις. Επιβεβαιωμένα Indicators of Compromise δεν έχουν δημοσιευθεί· ο εντοπισμός στηρίζεται στην ανάλυση συμπεριφοράς.
Ορισμένοι πάροχοι απέσυραν προληπτικά ιστοτόπους από το διαδίκτυο. Αυτό δεν σημαίνει αυτόματα ότι οι σελίδες αυτές παραβιάστηκαν. Ανοιχτό παραμένει, με την κατάσταση αυτής της επισκόπησης, κυρίως πόσοι διακομιστές παραβιάστηκαν πράγματι στο διάστημα πριν από το patch.
Τι σημαίνει το χρονολόγιο για τα logs και τους ελέγχους σας
Από τις ημερομηνίες προκύπτουν τρεις περίοδοι: πριν από τις 17.10., από τις 17.10. έως τη δική σας στιγμή ενημέρωσης και επανεκκίνησης, και μετά. Η μεσαία περίοδος είναι η κρίσιμη. Όσο περισσότερο διήρκεσε στη δική σας περίπτωση, τόσο πιο διεξοδικός πρέπει να είναι ο έλεγχος.
Ο ειδικός τύπος συνιστά τη διατήρηση των logs του διακομιστή από τις 20.10.2026. Διασώστε και τυχόν παλαιότερα logs πριν τα διαγράψει η αυτόματη εναλλαγή (rotation).
Ένας απλός τρόπος να διασώσετε τα logs αναλλοίωτα και να καταγράψετε την κατάσταση:
# Συλλογική αντιγραφή ασφαλείας των logs (προσαρμόστε τις διαδρομές στο σύστημά σας)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Άθροισμα ελέγχου για μεταγενέστερη απόδειξη
sha256sum /root/logs-sicherung-*.tar.gz
# Για πόσο διάστημα διατηρεί το σύστημα logs;
grep -R "rotate" /etc/logrotate.d/
Σημειώστε επιπλέον πότε ακριβώς εφαρμόστηκε η ενημέρωση και πότε επανεκκινήθηκαν οι διεργασίες PHP. Τα νέα αρχεία μόνα τους δεν προστατεύουν όσο παλιές διεργασίες εκτελούνται στη μνήμη. Πώς αναλύετε τα διασωσμένα logs, περιγράφει ο οδηγός Ανάλυση των logs του διακομιστή ιστού μετά από επίθεση.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Προσδιορίζουμε μαζί σας το πραγματικό παράθυρο ευπάθειας του διακομιστή σας: επίπεδο πακέτων, χρονική στιγμή του patch, επανεκκίνηση όλων των workers.
- Διασώζουμε τα logs και την κατάσταση του συστήματος με τρόπο ανιχνεύσιμο, πριν αλλάξει οτιδήποτε.
- Ελέγχουμε για ύποπτες συμπεριφορές, όπως νέα αρχεία PHP, ξένες διεργασίες και ασυνήθιστες εξερχόμενες συνδέσεις.
- Τεκμηριώνουμε το αποτέλεσμα έτσι ώστε να μπορούν να το αξιοποιήσουν η διοίκηση, οι υπεύθυνοι προστασίας δεδομένων και οι ασφαλιστές.
Τη διαδικασία αναλυτικά περιγράφει η άμεση βοήθεια PHP2Shell που προσφέρουμε.
Συχνές ερωτήσεις
Πότε δημοσιεύθηκαν τα patches του PHP2Shell;
Το έργο PHP δημοσίευσε τις διορθωμένες εκδόσεις στις 21.10.2026 στις 14:00 UTC, δηλαδή στις 16:00 ώρα Γερμανίας. Διορθώθηκαν οι εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35.
Από ποια ημερομηνία πρέπει να διατηρώ τα logs του διακομιστή;
Ο ειδικός τύπος συνιστά τη διατήρηση των logs από τις 20.10.2026. Επειδή σύμφωνα με δημοσιεύματα παρατηρήθηκε ήδη στις 17.10. μια πρώτη απόπειρα επίθεσης, αξίζει να διασώσετε και τυχόν παλαιότερα logs πριν τα διαγράψει η εναλλαγή (rotation).
Είναι το CVE-2026-115560 εξίσου επικίνδυνο με τις δύο πρώτες ευπάθειες;
Σύμφωνα με την ανακοίνωση της 23.10.2026, η εκμετάλλευση είναι δυνατή μόνο με μια ασυνήθιστη διαμόρφωση των sessions. Ως προσωρινό μέτρο ισχύει το session.upload_progress.enabled=0 μέχρι να κυκλοφορήσει η επόμενη τακτική έκδοση διορθώσεων.
Υπάρχουν επιβεβαιωμένα Indicators of Compromise για το PHP2Shell;
Όχι, με την κατάσταση της 25.10.2026 δεν έχουν δημοσιευθεί επιβεβαιωμένα Indicators of Compromise. Ο εντοπισμός στηρίζεται στην ανάλυση συμπεριφοράς, π.χ. ασυνήθιστες διεργασίες, νέα αρχεία και ύποπτες συνδέσεις.