Την Τετάρτη 21 Οκτωβρίου, γερμανικά υπουργεία, το βελγικό ΥΠΕΞ και το BBC έβγαλαν ιστοσελίδες εκτός λειτουργίας μέσα σε λίγες ώρες. Η αιτία ήταν το PHP2Shell, ένα ζευγάρι κρίσιμων κενών ασφαλείας στην ίδια την PHP.
Αν το site σου τρέχει WordPress, Joomla, Drupal ή Magento, τρέχει PHP. Δηλαδή το κενό ασφαλείας PHP σε αφορά ευθέως, ακόμη κι αν ο δικός σου κώδικας είναι άψογος.
Σύμφωνα με το in.gr, και τα δύο κενά βαθμολογούνται με 9,2 στην κλίμακα CVSS v4.0. Η καλή είδηση είναι ότι υπάρχει διορθωτική έκδοση. Η κακή είναι ότι δεν εγκαθίσταται μόνη της.
Τι είναι το PHP2Shell και γιατί έκλεισαν sites
Το PHP2Shell είναι το όνομα που δόθηκε σε δύο ευπάθειες, τις CVE-2026-109618 και CVE-2026-109619. Επιτρέπουν σε επιτιθέμενο χωρίς λογαριασμό να τρέξει κώδικα στον web server, σύμφωνα με το The Hacker News.
Το σημαντικό είναι το σημείο του προβλήματος. Τα κενά βρίσκονται στο runtime της PHP και όχι σε κάποιο plugin ή θέμα. Επομένως ένα «καθαρό» site μένει εκτεθειμένο.
Το ρίσκο είναι υψηλότερο σε servers με Apache και mod_php. Εκεί, ένα λειτουργικό exploit ενεργοποιείται πριν τρέξει οποιοσδήποτε κώδικας της εφαρμογής.
Τα κενά βρέθηκαν από ερευνητές των Wiz, Calif και OpenAI. Για τον λόγο αυτό το θέμα έχει και δεύτερη ανάγνωση: η ΑΙ εντοπίζει πλέον ευπάθειες σε κώδικα δεκαετιών. Έχουμε δει ήδη την ίδια τάση σε μικρότερη κλίμακα, για παράδειγμα με το κρίσιμο κενό RCE στο Node.js ImageResponse.
Οι πληροφορίες διέρρευσαν μία ημέρα πριν από την προγραμματισμένη αποκάλυψη της 22ας Οκτωβρίου. Η PHP έβγαλε τελικά τις διορθώσεις στις 14:00 UTC της 21ης Οκτωβρίου, δηλαδή στις 17:00 ώρα Ελλάδας.
Η ρητορική των κυβερνήσεων ήταν προληπτική και όχι αντίδραση σε επίθεση. Το υπουργείο Ψηφιακής Πολιτικής της Γερμανίας δήλωσε ότι έκλεισε sites μόνο για λόγους πρόληψης, όπως μετέδωσε η CNN Greece. Το ίδιο έκαναν η φινλανδική κυβέρνηση και το δημοτικό συμβούλιο του Εδιμβούργου.
Ποιες εκδόσεις PHP επηρεάζονται
Το πρόβλημα αγγίζει σχεδόν κάθε έκδοση PHP πίσω μέχρι την 5.4. Αυτό αναφέρει το The Hacker News, ενώ CERT-EU και ACSC έκαναν λόγο για όλες τις εκδόσεις από την PHP 5 και μετά.
Οι επίσημες διορθώσεις βγήκαν για τέσσερις υποστηριζόμενους κλάδους:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Εδώ κρύβεται η πραγματική παγίδα. Οι κλάδοι κάτω από την 8.2 δεν παίρνουν patch, γιατί έχουν τελειώσει τον κύκλο υποστήριξής τους.
Μια εκτίμηση που μετέδωσε το pagenews.gr μιλά για περίπου 2,6 εκατομμύρια hosts με PHP. Από αυτά, περίπου 1,5 εκατομμύριο φαίνεται να τρέχουν εκδόσεις χωρίς διαθέσιμη άμεση διόρθωση. Το νούμερο είναι εκτίμηση και όχι επίσημο στοιχείο.
Η δική μας εκτίμηση: οι μικρές επιχειρήσεις με παλιά PHP 7.x είναι η πιο εκτεθειμένη ομάδα. Δεν έχουν ομάδα IT, ούτε προειδοποίηση από το hosting. Θα το μάθουν όταν συμβεί κάτι.
Πώς ελέγχεις και ενημερώνεις την PHP σου
Ο έλεγχος παίρνει λίγα λεπτά. Στην πράξη, η έκδοση PHP φαίνεται άμεσα στο WordPress από το Εργαλεία → Υγεία ιστότοπου → Πληροφορίες → Διακομιστής. Δεν χρειάζεται SSH.
- Βρες την έκδοση PHP του site (Υγεία ιστότοπου ή το panel του hosting).
- Αν είναι 8.2–8.5, ζήτησε ή κάνε αναβάθμιση στην τελευταία patch έκδοση του κλάδου σου.
- Αν είναι 8.1 ή παλαιότερη, μετακόμισε σε υποστηριζόμενο κλάδο (8.2 ή νεότερο).
- Πάρε πλήρες backup αρχείων και βάσης πριν από την αλλαγή.
- Έλεγξε το site σε staging, ύστερα στο live, και δες τα error logs.
- Παρακολούθησε τα logs για ύποπτα requests τις επόμενες ημέρες.
Η σειρά έχει σημασία. Πρώτα το backup, μετά η αλλαγή. Η αναβάθμιση από 7.x σε 8.x μπορεί να χαλάσει παλιά plugins, και χωρίς αντίγραφο δεν γυρνάς πίσω.
Το backup έχει και δεύτερο ρόλο. Αν ένα site παραβιαστεί πριν προλάβεις να κάνεις patch, το καθαρό αντίγραφο είναι η μόνη σίγουρη διέξοδος. Γράψαμε αναλυτικά για την θωράκιση της αλυσίδας ανάκτησης απέναντι σε ransomware, και αυτά τα βήματα ισχύουν και εδώ.
Τι σημαίνει για WordPress και κοινόχρηστα hosting
Η Wordfence τόνισε ότι κάθε site WordPress τρέχει σε server με PHP. Προειδοποίησε επίσης ότι οι αυτόματες ενημερώσεις του WordPress δεν θα εγκαταστήσουν αυτές τις διορθώσεις, όπως αναφέρει το in.gr.
Το WordPress ενημερώνει τον πυρήνα, τα plugins και τα themes. Δεν αγγίζει την PHP του server. Αυτή την αλλάζει μόνο το hosting ή εσύ, από το panel.
Στο κοινόχρηστο hosting, συνήθως αποφασίζει ο πάροχος. Πολλοί θα προχωρήσουν σε ενημέρωση χωρίς να ρωτήσουν. Άλλοι θα αφήσουν την επιλογή έκδοσης στον πελάτη.
Ένα πρακτικό σενάριο: έχεις δύο sites στο ίδιο hosting, το ένα με PHP 8.3 και το άλλο με 7.4 για ένα παλιό plugin. Το πρώτο ενημερώνεται εύκολα. Το δεύτερο δεν έχει επίσημη διόρθωση και πρέπει να μετακομίσει ή να απομονωθεί.
Στα VPS και στους dedicated servers, η ευθύνη είναι εξ ολοκλήρου δική σου. Χρειάζεται update των πακέτων PHP από το repository της διανομής ή του Ondřej Surý/Remi, ανάλογα με το σύστημά σου. Μετά από αυτό, restart του PHP-FPM ή του Apache.
⚠️ Reality Check: η αναβάθμιση της PHP δεν επιδιορθώνει ένα site που είχε ήδη παραβιαστεί. Αν υποψιάζεσαι ότι κάτι μπήκε, κάνε έλεγχο για άγνωστα αρχεία, νέους διαχειριστές και ύποπτα scheduled tasks.
Προσωρινά μέτρα: τι προστατεύει και τι όχι
Πριν βγει η διόρθωση, το The Hacker News έγραφε ότι δεν υπάρχει πλήρης αποκλεισμός των κενών. Ένα ρύθμισης-«workaround» που κυκλοφορούσε δεν αρκούσε από μόνο του, όπως παραδέχθηκε αργότερα και η εταιρεία που το πρότεινε. Το σωστό μέτρο είναι το update.
Η Cloudflare ανέφερε ότι είδε τις πρώτες απόπειρες εκμετάλλευσης και έβγαλε έκτακτους κανόνες WAF. Ο CTO της, Dane Knecht, το χαρακτήρισε ρητά προσωρινή λύση, όπως μεταφέρει το in.gr.
| Μέτρο | Τι καλύπτει | Περιορισμός | Πότε έχει νόημα |
|---|---|---|---|
| Επίσημο update PHP | Διορθώνει τις CVE στη ρίζα | Μόνο για κλάδους 8.2–8.5 | Πάντα, με την πρώτη ευκαιρία |
| Κανόνες WAF (π.χ. Cloudflare) | Μπλοκάρει γνωστά μοτίβα επίθεσης | Προσωρινό, δεν καλύπτει νέες παραλλαγές | Όσο περιμένεις το hosting ή το staging |
| Απόσυρση ή πρόσβαση με έλεγχο ταυτότητας | Αφαιρεί την έκθεση στο internet | Το site δεν είναι διαθέσιμο | Παλιά PHP χωρίς patch, κρίσιμα συστήματα |
| Αναμονή για το hosting | Τίποτα μέχρι να ενημερωθεί ο πάροχος | Δεν ελέγχεις τον χρόνο | Μόνο αν ο πάροχος δεσμευτεί γραπτά για ημερομηνία |
Οι αρχές είναι διχασμένες ως προς τον τόνο, και αυτό έχει σημασία. Η CERT-EU συνέστησε σε όσους δεν μπορούν να εφαρμόσουν τα patches να εξετάσουν το προσωρινό κλείσιμο των sites. Ο ACSC της Αυστραλίας δήλωσε ότι δεν γνώριζε ενεργή εκμετάλλευση. Το The Hacker News σημείωνε ότι καμία παραβίαση δεν είχε επιβεβαιωθεί και ότι το δημόσιο exploit δεν είχε αποδειχθεί λειτουργικό.
Η CISA πήγε ένα βήμα πιο πέρα και προέτρεψε τους οργανισμούς να κάνουν άμεσα patch. Τα στοιχεία αυτά αλλάζουν γρήγορα, γι’ αυτό έλεγξε την κατάσταση στα επίσημα κανάλια πριν αποφασίσεις.
Psifiaka Take: το κλείσιμο ενός site για λίγες ώρες κοστίζει λιγότερο από μια παραβίαση. Εξαίρεση είναι το e-shop με ενεργές παραγγελίες. Εκεί προτιμάμε WAF συν γρήγορο update, και όχι διακοπή.
Τιμές, εκδόσεις και κατάσταση εκμετάλλευσης ισχύουν τη στιγμή της δημοσίευσης. Επιβεβαίωσε στο επίσημο site της PHP και στον πάροχό σου πριν αποφασίσεις.
Συχνές Ερωτήσεις για το κενό ασφαλείας PHP2Shell
Τι είναι το PHP2Shell;
Είναι το όνομα για δύο κρίσιμες ευπάθειες στο runtime της PHP, τις CVE-2026-109618 και CVE-2026-109619. Επιτρέπουν σε επιτιθέμενο χωρίς σύνδεση να εκτελέσει κώδικα στον server.
Πόσο σοβαρό είναι το κενό ασφαλείας της PHP;
Και οι δύο ευπάθειες βαθμολογούνται με 9,2 στην κλίμακα CVSS v4.0. Η βαθμολογία δείχνει κίνδυνο εκτέλεσης κώδικα εξ αποστάσεως χωρίς έλεγχο ταυτότητας, όπως προειδοποίησε η CERT-EU.
Ποιες εκδόσεις PHP έχουν διόρθωση;
Οι διορθώσεις βγήκαν για τις εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Παλαιότεροι κλάδοι δεν παίρνουν επίσημο patch.
Πώς βλέπω ποια έκδοση PHP τρέχει το site μου;
Σε WordPress πήγαινε στο Εργαλεία → Υγεία ιστότοπου → Πληροφορίες → Διακομιστής. Εναλλακτικά, δες το panel του hosting, π.χ. cPanel ή Plesk.
Θα ενημερωθεί αυτόματα η PHP από το WordPress;
Όχι. Η Wordfence προειδοποίησε ότι οι αυτόματες ενημερώσεις δεν εγκαθιστούν αυτές τις διορθώσεις. Την PHP την αλλάζει ο πάροχος ή ο διαχειριστής του server.
Αρκεί ένα plugin ασφαλείας ή ένα WAF;
Όχι από μόνο του. Οι κανόνες WAF της Cloudflare περιγράφονται από την ίδια ως προσωρινή λύση, και το πραγματικό μέτρο είναι το update της PHP.
Πρέπει να κατεβάσω το site μου;
Εξαρτάται από το ρίσκο. Η CERT-EU συνιστά προσωρινό κλείσιμο σε όσους δεν μπορούν να κάνουν patch. Αν μπορείς να ενημερώσεις γρήγορα, το update συνήθως αρκεί.
Πώς καταλαβαίνω ότι το site μου παραβιάστηκε;
Ψάξε για άγνωστα αρχεία PHP, νέους διαχειριστές, ύποπτα scheduled tasks και ασυνήθιστη κίνηση στα logs. Αν βρεις κάτι, επανάφερε καθαρό backup και άλλαξε όλους τους κωδικούς.
Η υπόθεση PHP2Shell δείχνει κάτι που οι περισσότεροι ιδιοκτήτες sites αγνοούν: ο κίνδυνος συχνά δεν είναι στο plugin που διάλεξες, αλλά στο υπόστρωμα που δεν άγγιξες ποτέ. Την επόμενη φορά που ένας πάροχος θα σου πει «τρέχει PHP 7.4, δεν υπάρχει πρόβλημα», ζήτησε ημερομηνία αναβάθμισης. Και θα προσέχουμε, γιατί η ΑΙ θα βρίσκει όλο και πιο παλιά bugs σε όλο και πιο βασικό λογισμικό.
Τι να παρακολουθείς: αν η CISA προσθέσει τα CVE στον κατάλογο γνωστών εκμεταλλευόμενων ευπαθειών, και αν ο πάροχός σου ανακοινώσει ημερομηνία για το update.
