Εν συντομία: Αν υποψιάζεστε ότι ο διακομιστής σας παραβιάστηκε μέσω PHP2Shell, επικοινωνήστε μαζί μας τώρα. Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε. Αναλαμβάνουμε από το πρώτο μήνυμα τον περιορισμό της ζημιάς, διασώζουμε τα ίχνη, κλείνουμε την ευπάθεια, αφαιρούμε τον κακόβουλο κώδικα και τεκμηριώνουμε το περιστατικό μέχρι να κλείσει.
Μη διαγράψετε τίποτα και μη στήσετε τίποτα από την αρχή. Τα διαγραμμένα αρχεία και τα logs που έχουν αντικατασταθεί είναι τα ίχνη που δείχνουν αν και πώς εισέβαλε κάποιος. Αν χρειάζεται, βγάλτε τον διακομιστή από το δίκτυο, αφήστε τον όμως αμετάβλητο. Δηλώστε το περιστατικό και θα σας πούμε το επόμενο βήμα.
Επηρεάζεστε; Ενδείξεις ότι το PHP2Shell έχει ήδη αξιοποιηθεί
Το PHP2Shell είναι το όνομα για δύο κρίσιμες ευπάθειες στην ίδια την PHP, με τις οποίες επιτιθέμενοι μπορούν να εκτελέσουν εξ αποστάσεως κακόβουλο κώδικα χωρίς σύνδεση. Μέχρι στιγμής δεν υπάρχει σαφές αποτύπωμα. Γι' αυτό μετρά τι κάνει ο διακομιστής και όχι τι βρίσκει ένας σαρωτής. Ενδείξεις εισβολής είναι:
- Διεργασίες του διακομιστή ιστού ή του PHP-FPM που ξεκινούν shell όπως
shήbash. Πρόκειται για ισχυρό προειδοποιητικό σημάδι. - Νέα ή τροποποιημένα αρχεία PHP σε φακέλους upload, cache ή temp, που δεν δημιούργησε κανείς.
- Cronjobs, υπηρεσίες ή κλειδιά SSH που δεν γνωρίζετε.
- Εξερχόμενες συνδέσεις προς άγνωστους προορισμούς, ξαφνικά υψηλό φορτίο ή ασυνήθιστη κίνηση δεδομένων.
- Αιτήματα στα logs από τις 17.10.2026, ιδίως ύποπτα uploads και αιτήματα συνεδρίας πριν από την εφαρμογή του patch.
- Ειδοποιήσεις από τον πάροχο φιλοξενίας, το πρόγραμμα περιήγησης ή τη μηχανή αναζήτησης για spam, malware ή ανακατευθύνσεις.
Περισσότερα θα βρείτε στο Έχω ήδη παραβιαστεί;. Η απουσία κάθε ένδειξης δεν αποτελεί απόδειξη ότι ο διακομιστής είναι καθαρός. Σημαίνει μόνο ότι μέχρι τώρα δεν έχει παρατηρηθεί τίποτα.
Τι κάνετε αμέσως τώρα
- Μην αλλάξετε τίποτα. Μη διαγράψετε αρχεία, μην επαναφέρετε αντίγραφο ασφαλείας, μην κάνετε νέα εγκατάσταση προτού γίνει διάσωση των στοιχείων.
- Διασώστε τα logs. Ζητήστε από τον πάροχο φιλοξενίας ή το τμήμα πληροφορικής σας να μην αντικαταστήσουν τα αρχεία καταγραφής πρόσβασης, σφαλμάτων και συστήματος. Ο εξειδικευμένος Τύπος συνιστά τη διατήρηση των logs από τις 20.10.2026.
- Αποφασίστε για τη διαθεσιμότητα. Αν διαρρέουν δεδομένα ή μπορεί να κινδυνεύουν επισκέπτες, θέστε τον ιστότοπο εκτός δικτύου ή σε λειτουργία συντήρησης.
- Συγκεντρώστε τις προσβάσεις. Σημειώστε ποιος έχει πρόσβαση στον διακομιστή, στον πίνακα ελέγχου, στο CMS και στη βάση δεδομένων. Τους κωδικούς αλλάξτε τους μόνο μετά από συνεννόηση και από καθαρή συσκευή.
- Ενημερώστε τους αρμόδιους. Τη διοίκηση, τον υπεύθυνο προστασίας δεδομένων και, αν υπάρχει συμβόλαιο, την ασφαλιστική εταιρεία.
- Τηλεφωνήστε ή γράψτε μας. Όσο νωρίτερα γνωρίζουμε την κατάσταση, τόσο περισσότερα μπορούν να τεκμηριωθούν.
Πώς βοηθά συγκεκριμένα η PHP SOS;
Εργαζόμαστε εξ αποστάσεως, χωρίς μετακίνηση, σε όλη τη Γερμανία και την Ευρώπη.
- Καταγραφή της κατάστασης: Διευκρινίζουμε ποια συστήματα λειτουργούν, ποιος τρόπος λειτουργίας της PHP χρησιμοποιείται, τι έχει προκαλέσει υποψία και ποια δεδομένα μπορεί να θίγονται.
- Διάσωση και κλείσιμο: Διασώζουμε αρχεία, βάση δεδομένων και logs και καταγράφουμε την κατάσταση πριν από κάθε αλλαγή. Στη συνέχεια κλείνουμε την ευπάθεια με το patch ή, αν αυτό δεν είναι ακόμη δυνατό, με προσωρινά μέτρα, και επανεκκινούμε όλες τις διεργασίες PHP.
- Έλεγχος και καθαρισμός: Αναζητούμε webshells, backdoors, cronjobs και ξένες προσβάσεις και τα αφαιρούμε ή ξαναχτίζουμε την κατάσταση από αξιόπιστες πηγές. Τη διαδικασία περιγράφει η σελίδα Αφαίρεση malware και webshells.
- Σκλήρυνση και αναφορά: Αλλάζουμε τα επηρεασμένα μυστικά, συμπληρώνουμε τα μέτρα προστασίας και παραδίδουμε αναφορά που διακρίνει μεταξύ αποδεδειγμένου, πιθανού και άγνωστου.
Αν το περιστατικό επεκταθεί πέρα από έναν διακομιστή, περνάμε σε δομημένη αντιμετώπιση περιστατικού (Incident Response). Αν χρειάζονται αποδεικτικά στοιχεία που να στέκουν σε δικαστήριο, προσθέτουμε ψηφιακή εγκληματολογία (IT-Forensik).
Γιατί ένα patch από μόνο του δεν αρκεί μετά από επίθεση
Οι ευπάθειες βρίσκονται στον διερμηνέα της PHP και όχι στο CMS. Το έργο PHP δημοσίευσε στις 21.10.2026 τις εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Όποιος ενημέρωσε μετά και επανεκκίνησε όλα τα workers, είναι προστατευμένος από νέες επιθέσεις μέσω αυτής της διαδρομής. Ό,τι όμως έχει αφήσει νωρίτερα ένας επιτιθέμενος παραμένει: ένα webshell, ένας επιπλέον λογαριασμός, μια χρονοπρογραμματισμένη εργασία. Γι' αυτό ακριβώς οι ημέρες μεταξύ 17 και 21.10. είναι ιδιαίτερα σημαντικές.
Προστίθεται και ένα δεύτερο σημείο: ένα webshell είναι συχνά μόνο το πρώτο βήμα. Όποιος μπορούσε να εκτελέσει κώδικα στον διακομιστή ιστού, μπορούσε επίσης να διαβάσει αρχεία διαμόρφωσης και από αυτά να αποκτήσει πρόσβαση σε βάση δεδομένων, email και API. Αυτά τα μυστικά πρέπει να αντικατασταθούν, διαφορετικά η πόρτα μένει ανοιχτή, παρότι η PHP έχει ενημερωθεί. Πώς ελέγχετε με νόημα αρχεία και χρονικά σημεία, περιγράφει ο οδηγός για την αναγνώριση webshells.
Υποχρέωση γνωστοποίησης και τεκμηρίωση
Αν μπορεί να θίγονται δεδομένα προσωπικού χαρακτήρα, μπορεί να απαιτηθεί γνωστοποίηση στην εποπτική αρχή εντός 72 ωρών. Η προθεσμία τρέχει από τη στιγμή που λαμβάνετε γνώση και όχι από την ολοκλήρωση της έρευνας. Το αν η περίπτωσή σας υπόκειται σε γνωστοποίηση το κρίνουν ο υπεύθυνος προστασίας δεδομένων ή ο δικηγόρος· νομικές συμβουλές δεν παρέχουμε. Η τεκμηρίωσή μας προσφέρει τη βάση γι' αυτό. Περισσότερα για την προθεσμία θα βρείτε στη σελίδα Υποχρέωση γνωστοποίησης ΓΚΠΔ εντός 72 ωρών, τα βήματα που ακολουθούν στον Κατάλογο ελέγχου μετά από μια επίθεση.
Τι να μας στείλετε
- Περιγραφή του τι έχει προκαλέσει υποψία, από πότε και ποιος το πρόσεξε
- Είδος διακομιστή: δικός σας διακομιστής, διαχειριζόμενος διακομιστής ή πακέτο φιλοξενίας, μαζί με τον πάροχο
- Αποτέλεσμα της εντολής
php -vκαι, αν είναι γνωστός, ο τρόπος λειτουργίας (PHP-FPM, mod_php, LiteSpeed) - Χρονική στιγμή της ενημέρωσης PHP, αν έχει ήδη γίνει
- Πρόσβαση στον διακομιστή ή η άδεια να μιλήσουμε με τον πάροχο φιλοξενίας σας
- Υπεύθυνο πρόσωπο με εξουσία απόφασης για απενεργοποίηση και επανεκκινήσεις
Γιατί PHP SOS
Εργαζόμαστε Made in Germany και είμαστε εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Έχετε έναν υπεύθυνο επικοινωνίας που σας συνοδεύει από το πρώτο μήνυμα έως την ολοκλήρωση. Ό,τι κάνουμε τεκμηριώνεται, ώστε να μπορείτε να το αποδείξετε έναντι της διοίκησης, της ασφαλιστικής εταιρείας και των αρχών. Δεν υποσχόμαστε τίποτα που δεν μπορεί να τηρήσει κανείς: αν λείπουν logs, το λέμε ανοιχτά, και κατονομάζουμε τι είναι αποδεδειγμένο και τι παραμένει εικασία.
Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.
Μην περιμένετε να γίνει βεβαιότητα η υποψία. Τηλεφωνήστε ή γράψτε μας στο WhatsApp. Αναλαμβάνουμε από το πρώτο μήνυμα και μένουμε μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί. Δηλώστε τώρα το περιστατικό.
Συχνές ερωτήσεις
Αρκεί να ενημερώσω την PHP, αν ο διακομιστής μου ίσως έχει ήδη παραβιαστεί;
Όχι. Η ενημέρωση κλείνει την ευπάθεια, δεν αφαιρεί όμως κακόβουλο λογισμικό που έχει ήδη εισαχθεί και δεν αποδεικνύει ότι προηγουμένως δεν συνέβη τίποτα. Μετά το patch πρέπει να ελεγχθεί ο διακομιστής για ίχνη εισβολής.
Πώς αναγνωρίζω μια επιτυχή επίθεση PHP2Shell;
Δεν υπάρχουν δημοσιευμένα, επιβεβαιωμένα Indicators of Compromise. Ο εντοπισμός βασίζεται στη συμπεριφορά: διεργασίες του διακομιστή ιστού που ξεκινούν shell, νέα αρχεία PHP σε φακέλους upload ή cache, άγνωστα cronjobs ή κλειδιά SSH και ασυνήθιστες εξερχόμενες συνδέσεις.
Να βγάλω τον διακομιστή από το δίκτυο, αν υποψιάζομαι εισβολή;
Συχνά αυτό είναι σωστό, διότι το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) συνιστά να τίθεται προσωρινά εκτός δικτύου ο διακομιστής ιστού, όταν η ενημέρωση δεν είναι άμεσα εφικτή. Σημασία έχει να μη διαγράψετε τίποτα και να διατηρήσετε logs και αρχεία, ώστε το περιστατικό να μπορεί να διερευνηθεί.
Πρέπει να ενημερώσω την αρχή προστασίας δεδομένων μετά από μια επίθεση PHP2Shell;
Αν μπορεί να θίγονται δεδομένα προσωπικού χαρακτήρα, μπορεί να απαιτείται γνωστοποίηση εντός 72 ωρών. Την απόφαση παίρνετε με τον υπεύθυνο προστασίας δεδομένων ή με δικηγόρο· εμείς παρέχουμε τα τεχνικά στοιχεία.
Έχουν όντως ήδη παραβιαστεί διακομιστές μέσω PHP2Shell;
Σύμφωνα με δημοσιεύματα, οι πρώτες παρατηρημένες απόπειρες επίθεσης έγιναν από τις 17.10.2026 και η Cloudflare ανέφερε παρατηρημένες απόπειρες επίθεσης. Το BSI δεν ανέφερε αρχικά επιβεβαιωμένες επιτυχείς επιθέσεις σε μεγάλη κλίμακα. Σε μεμονωμένη περίπτωση αυτό μπορεί να διευκρινιστεί μόνο στον ίδιο τον διακομιστή.