PHP2Shell: Δύο Κρίσιμες Ευπάθειες στην PHP Απειλούν Ιστοσελίδες και Εφαρμογές — Τι Πρέπει να Κάνετε

01 · Official PHP Security Release

Τι ανακοίνωσε επίσημα η PHP στις 21 Οκτωβρίου 2026;

Το PHP Project, η κοινότητα που αναπτύσσει τη γλώσσα PHP, δημοσίευσε επείγουσες εκδόσεις ασφαλείας για να αντιμετωπίσει δύο σοβαρά προβλήματα στη λειτουργία του PHP engine.

Η ανακοίνωση δημοσιεύτηκε στο επίσημο PHP.net και συνοδεύτηκε από αναλυτικές τεχνικές καταχωρίσεις στο επίσημο αποθετήριο πηγαίου κώδικα της PHP.

Η PHP Foundation, ο οργανισμός που υποστηρίζει την ανάπτυξη και τη συντήρηση της γλώσσας, δημοσίευσε επίσης εκτενή ενημέρωση για την ανακάλυψη, τη διερεύνηση και την επιδιόρθωση των συγκεκριμένων ευπαθειών.

Γιατί προκάλεσαν διεθνή ανησυχία;

Οι ευπάθειες μπορούν να επιτρέψουν Remote Code Execution, γνωστό και ως RCE, δηλαδή εκτέλεση κώδικα από απόσταση.

Σε μια επιτυχημένη επίθεση, ο επιτιθέμενος ενδέχεται να αποκτήσει δυνατότητα εκτέλεσης εντολών με τα δικαιώματα της PHP διεργασίας, να προσπελάσει δεδομένα στα οποία έχει πρόσβαση η εφαρμογή ή να προκαλέσει διακοπή υπηρεσιών.

Η Wiz Research τεκμηρίωσε επίσης σενάρια αποκάλυψης δεδομένων από τη μνήμη PHP workers, στα οποία μπορεί να υπάρχουν ευαίσθητες πληροφορίες όπως authentication tokens, API keys ή κωδικοί.

Υπάρχουν πραγματικές επιθέσεις;

Στις 21 Οκτωβρίου, η Patchstack ανέφερε ότι έλαβε πληροφορίες από συνεργάτες hosting για περιστατικά ενεργής εκμετάλλευσης και ότι παρατήρησε απόπειρες probing.

Οι σχετικές αναφορές χρειάζονται προσεκτική ερμηνεία: οι απόπειρες επίθεσης δεν αποδεικνύουν από μόνες τους ότι κάθε στοχευμένη εφαρμογή παραβιάστηκε.

Διαβάστε την αυθεντική ανακοίνωση ασφαλείας στο PHP.net .

02 · Critical Vulnerabilities

Ποιες είναι οι δύο κρίσιμες ευπάθειες PHP2Shell;

Το όνομα PHP2Shell χρησιμοποιείται στη δημόσια τεχνική ανάλυση των επιθέσεων και των προβλημάτων που συνδέονται με τις δύο ευπάθειες.

Γιατί είναι τόσο επικίνδυνες;

Οι ευπάθειες βρίσκονται σε βασικούς μηχανισμούς της PHP, όπως η διαχείριση μνήμης, η επεξεργασία αιτημάτων και η διαχείριση σφαλμάτων.

Δεν εξαρτώνται απαραίτητα από ένα σφάλμα προγραμματισμού σε WordPress plugin, Joomla extension ή Laravel package.

Συνεπώς, ακόμη και μια εφαρμογή που είναι ενημερωμένη και δεν διαθέτει γνωστές ευπάθειες στον δικό της κώδικα μπορεί να εκτεθεί αν το PHP runtime είναι ευάλωτο.

03 · Affected Ecosystem

Ποιες ιστοσελίδες, CMS και εφαρμογές επηρεάζονται;

Η απειλή δεν περιορίζεται στο WordPress. Οποιαδήποτε διαδικτυακή εφαρμογή βασίζεται σε ευάλωτη εγκατάσταση PHP μπορεί να χρειάζεται άμεσο έλεγχο και ενημέρωση.

Ανάλογα με την έκδοση PHP, τη διαμόρφωση του server και τον τρόπο που επεξεργάζεται αιτήματα, ενδέχεται να επηρεάζονται οι παρακάτω κατηγορίες συστημάτων.

Τι έχει αποδειχθεί με πραγματικές δοκιμές;

Η Wiz Research ανέφερε ότι κατάφερε να αποδείξει unauthenticated remote code execution σε δοκιμαστικές εγκαταστάσεις των WordPress, Joomla και Drupal, με χρήση εικόνων containers που ήταν επίκαιρες κατά τη στιγμή των δοκιμών.

Αυτό δεν σημαίνει ότι το κάθε CMS διαθέτει ξεχωριστή ευπάθεια. Η βασική αιτία βρίσκεται στη PHP που εκτελεί τον κώδικα.

Για πλατφόρμες όπως Magento, PrestaShop, Laravel και Symfony, η ανάγκη ελέγχου προκύπτει από την εξάρτησή τους από την PHP. Δεν πρέπει να θεωρείται ότι έχει επιβεβαιωθεί η ίδια ακριβώς διαδρομή εκμετάλλευσης σε κάθε επιμέρους εγκατάσταση.

04 · Server Infrastructure

Ποια περιβάλλοντα PHP μπορεί να είναι ευάλωτα;

Ο τρόπος που εκτελείται η PHP διαφέρει ανάμεσα στους web servers και τις υπηρεσίες φιλοξενίας.

Το PHP Project αναφέρει ότι οι εγκαταστάσεις που εξυπηρετούν HTTP requests χρειάζονται αξιολόγηση, συμπεριλαμβανομένων των:

• Apache mod_php
• PHP-FPM
• PHP-CGI
• LiteSpeed / LSAPI
• FrankenPHP

Πού είναι υψηλότερος ο κίνδυνος;

Η επίσημη ανακοίνωση επισημαίνει ιδιαίτερα το Apache mod_php, καθώς έχει αποδειχθεί διαδρομή εκμετάλλευσης που μπορεί να ενεργοποιηθεί πριν εκτελεστεί ο κώδικας της ίδιας της εφαρμογής.

Αυτό όμως δεν σημαίνει ότι τα PHP-FPM, LiteSpeed ή άλλα περιβάλλοντα είναι αυτομάτως προστατευμένα.

Η PHP Foundation αναφέρει ότι έχει επιβεβαιωθεί απομακρυσμένη εκτέλεση κώδικα και σε PHP-FPM μέσω συγκεκριμένων διαδρομών στο επίπεδο της εφαρμογής.

05 · Official Security Patches

Ποιες εκδόσεις PHP διορθώνουν τις δύο ευπάθειες;

Στις 21 Οκτωβρίου 2026 δημοσιεύτηκαν τέσσερις επίσημες ενημερώσεις της PHP που περιλαμβάνουν τις διορθώσεις.

Τι ισχύει για παλαιότερες εκδόσεις;

Οι PHP 8.1, 8.0, 7.4 και παλαιότερες εκδόσεις δεν λαμβάνουν πλέον κανονικές security releases από το κεντρικό PHP Project.

Ορισμένοι πάροχοι Linux, υπηρεσίες extended support και διαχειριστές υποδομών παρέχουν backported security fixes.

Σε τέτοιες περιπτώσεις, η ασφάλεια δεν μπορεί να κριθεί μόνο από τον αριθμό έκδοσης που εμφανίζει το php -v. Χρειάζεται έλεγχος των patches και του changelog του συγκεκριμένου πακέτου.

Η PHP 8.2 ολοκληρώνει τον κύκλο επίσημης υποστήριξης στο τέλος του 2026, οπότε είναι χρήσιμο να προγραμματιστεί αναβάθμιση σε νεότερο υποστηριζόμενο κλάδο.

Οι επίσημες εκδόσεις δημοσιεύονται στο PHP Downloads .

06 · Website Owners

Τι πρέπει να κάνουν άμεσα οι ιδιοκτήτες ιστοσελίδων;

Δεν χρειάζεται να γνωρίζετε προγραμματισμό για να πραγματοποιήσετε τους πρώτους ελέγχους.

1. Επικοινωνήστε με τον hosting provider. Ρωτήστε αν έχουν εφαρμοστεί οι διορθώσεις για τα CVE-2026-109618 και CVE-2026-109619.
2. Ελέγξτε την PHP της εφαρμογής σας. Χρησιμοποιήστε το control panel ή τις πληροφορίες συστήματος του CMS.
3. Επιβεβαιώστε ότι υπάρχουν backups. Διατηρήστε πρόσφατο αντίγραφο αρχείων και βάσης δεδομένων πριν από αλλαγές.
4. Μην αλλάζετε έκδοση PHP χωρίς έλεγχο συμβατότητας. Ειδικά σε παλαιότερες εφαρμογές, μια αλλαγή μπορεί να προκαλέσει λειτουργικά προβλήματα.
5. Ζητήστε επιβεβαίωση εγκατάστασης του patch. Δεν αρκεί ένα γενικό μήνυμα ότι ο server είναι ενημερωμένος.
6. Ελέγξτε τη λειτουργία της εφαρμογής. Εξετάστε συνδέσεις χρηστών, φόρμες, πληρωμές, κρατήσεις και κρίσιμες διαδικασίες.

Πρέπει να ενημερώσω το CMS μου;

Η ενημέρωση του WordPress, Joomla, Drupal, Magento ή άλλου συστήματος είναι πάντοτε σημαντική.

Ωστόσο, οι συγκεκριμένες ευπάθειες δεν διορθώνονται απλώς με την αναβάθμιση ενός CMS, plugin ή extension.

Το security patch πρέπει να εγκατασταθεί στη PHP που εκτελείται στον server.

07 · Hosting Panels

Τι ισχύει για cPanel, Plesk, CloudLinux και άλλα panels;

Τα hosting control panels παρέχουν διαφορετικούς τρόπους διαχείρισης της PHP. Η εγκατάσταση security patches όμως εξαρτάται από τα δικαιώματα και τις ευθύνες διαχείρισης του server.

cPanel / WHM / EasyApache 4

Η cPanel ανακοίνωσε ενημερώσεις για τις εγκαταστάσεις EasyApache 4.

Οι διαχειριστές WHM πρέπει να εγκαταστήσουν τα κατάλληλα PHP packages και να επαληθεύσουν ότι χρησιμοποιούνται οι διορθωμένες εκδόσεις.

Σε shared hosting, ο τελικός πελάτης συνήθως δεν μπορεί να εγκαταστήσει μόνος του νέα EA-PHP packages.

Η επιλογή έκδοσης μέσω MultiPHP Manager δεν σημαίνει από μόνη της ότι εγκαταστάθηκε το patch.

Plesk

Η Plesk δημοσίευσε οδηγίες και patched builds για τις ευπάθειες.

Οι διαχειριστές πρέπει να ελέγξουν τόσο τις PHP εκδόσεις των domains όσο και τα σχετικά πακέτα που χρησιμοποιεί η υποδομή τους.

CloudLinux / Alt-PHP

Η CloudLinux παρέχει ενημερώσεις μέσω των αντίστοιχων packages και του συστήματος extended support.

Χρειάζεται επιβεβαίωση ανά εγκατεστημένη έκδοση και λειτουργικό περιβάλλον, ιδιαίτερα όταν χρησιμοποιούνται πολλές Alt-PHP εκδόσεις.

CyberPanel / DirectAdmin / Custom Panels

Σε άλλα control panels, η διαδικασία εξαρτάται από τον PHP package provider, το λειτουργικό σύστημα και το web server stack.

Δεν αρκεί να είναι ενημερωμένο το ίδιο το control panel. Πρέπει να έχουν ενημερωθεί και τα πραγματικά PHP runtimes που εκτελούν τις ιστοσελίδες.

08 · VPS & DevOps

Τι πρέπει να κάνουν οι διαχειριστές VPS και dedicated servers;

Σε unmanaged VPS, VDS και dedicated servers, η ευθύνη της ενημέρωσης ανήκει στον διαχειριστή της υποδομής.

Η διαδικασία πρέπει να περιλαμβάνει:

1. Snapshot ή επαληθευμένο backup.
2. Καταγραφή όλων των εγκατεστημένων PHP runtimes.
3. Έλεγχο των security advisories του λειτουργικού συστήματος.
4. Εγκατάσταση των αντίστοιχων patched packages.
5. Επανεκκίνηση PHP-FPM, Apache ή άλλων εμπλεκόμενων services.
6. Επαλήθευση της έκδοσης που εξυπηρετεί πραγματικά τα HTTP requests.
7. Functional tests και έλεγχο server logs.

Έλεγχος PHP από terminal

Σε ένα Linux περιβάλλον, η παρακάτω εντολή δείχνει την PHP που είναι διαθέσιμη στο συγκεκριμένο command-line περιβάλλον.

php -v

Αυτό όμως δεν εγγυάται ότι το ίδιο binary χρησιμοποιείται και από τον web server.

Πρέπει να ελεγχθούν τυχόν πρόσθετες PHP εγκαταστάσεις, PHP-FPM pools, containers, Docker images, staging environments και ανεξάρτητες εφαρμογές.

Docker και containerized εφαρμογές

Αν η εφαρμογή χρησιμοποιεί PHP μέσα σε Docker container, δεν αρκεί να ενημερωθεί η PHP του host.

Χρειάζεται ενημέρωση του αντίστοιχου container image, νέο build όπου απαιτείται και ασφαλής αντικατάσταση των running containers.

Απαιτείται επανεκκίνηση;

Ναι, πρέπει να επιβεβαιωθεί ότι όλες οι σχετικές υπηρεσίες χρησιμοποιούν το νέο runtime.

Μια ενημέρωση πακέτων μπορεί να έχει ολοκληρωθεί, αλλά παλιές PHP διεργασίες ενδέχεται να συνεχίζουν να εκτελούν τον προηγούμενο κώδικα έως την επανεκκίνησή τους.

09 · Temporary Mitigation

Τι γίνεται αν δεν μπορείτε να αναβαθμίσετε αμέσως;

Οι επίσημες οδηγίες της PHP περιλαμβάνουν προσωρινά μέτρα μείωσης της έκθεσης. Ωστόσο, τα μέτρα αυτά δεν αποτελούν πλήρη επιδιόρθωση.

Προσωρινές ενέργειες

• Εφαρμογή ενημερωμένων κανόνων WAF, όπου είναι διαθέσιμοι.
• Περιορισμός της δημόσιας πρόσβασης σε κρίσιμα συστήματα, όταν είναι εφικτό.
• Αξιολόγηση των ρυθμίσεων PHP από κατάλληλα εξουσιοδοτημένο διαχειριστή.
• Παρακολούθηση ύποπτων HTTP requests και ασυνήθιστων PHP worker failures.
• Προσωρινό maintenance mode ή απομόνωση υψηλού κινδύνου εφαρμογών όπου κρίνεται απαραίτητο.

Για συγκεκριμένες διαδρομές εκμετάλλευσης της CVE-2026-109619, η PHP αναφέρει ως προσωρινό μέτρο την απενεργοποίηση του session upload progress από το κατάλληλο server configuration:

session.upload_progress.enabled=0

Η αλλαγή πρέπει να αξιολογείται από διαχειριστή και να εφαρμόζεται στον κατάλληλο μηχανισμό ρυθμίσεων, με επανεκκίνηση των σχετικών workers. Δεν αποκλείει άλλες διαδρομές εκμετάλλευσης.

Για την CVE-2026-109618, οι επίσημες οδηγίες εξετάζουν συγκεκριμένες server-level ρυθμίσεις μνήμης και περιορισμούς αιτημάτων. Οι ρυθμίσεις αυτές χρειάζονται τεχνική αξιολόγηση επειδή μπορεί να έχουν σημαντικές λειτουργικές συνέπειες.

10 · Threat Detection

Ποιες ενδείξεις μπορεί να δείχνουν προσπάθεια επίθεσης;

Οι ευπάθειες λειτουργούν σε χαμηλό επίπεδο του PHP engine, επομένως τα συνηθισμένα logs μιας εφαρμογής δεν καταγράφουν πάντοτε αρκετές πληροφορίες.

Η Wiz Research προτείνει να εξετάζονται ενδείξεις όπως:

• Ασυνήθιστα multipart HTTP requests.
• Επαναλαμβανόμενα HTTP 500 errors.
• Απροσδόκητα PHP memory-limit errors.
• Πολύ μεγάλα ή περίεργα PHPSESSID cookies.
• Ανεξήγητες επανεκκινήσεις PHP workers.
• Ασυνήθιστη εξερχόμενη δικτυακή δραστηριότητα.
• Άγνωστες διεργασίες, cron jobs ή τροποποιημένα αρχεία.

Αυτά αποτελούν ενδείξεις που χρειάζονται διερεύνηση, όχι αυτόματη επιβεβαίωση παραβίασης.

Τι δεδομένα πρέπει να διατηρηθούν;

Εφόσον υπάρχει υποψία περιστατικού, πρέπει να διατηρηθούν τα σχετικά web server logs, PHP error logs, authentication logs, WAF events και στοιχεία αλλαγών στο σύστημα.

Η διατήρηση τεχνικών στοιχείων είναι σημαντική πριν από ενέργειες που θα μπορούσαν να αλλοιώσουν τη διαθέσιμη εικόνα του περιστατικού.

11 · Incident Response

Τι πρέπει να κάνετε αν ο server έχει ήδη παραβιαστεί;

Η εγκατάσταση του security patch αντιμετωπίζει την ευπάθεια, αλλά δεν απομακρύνει αυτομάτως τυχόν κακόβουλες αλλαγές που πραγματοποιήθηκαν νωρίτερα.

1. Περιορίστε το περιστατικό. Απομονώστε κατάλληλα τις επηρεαζόμενες υπηρεσίες όπου απαιτείται.
2. Διατηρήστε τα στοιχεία. Προστατεύστε logs, backups και τεχνικά δεδομένα για την ανάλυση του περιστατικού.
3. Εξετάστε το εύρος της παραβίασης. Ελέγξτε εφαρμογές, αρχεία, λογαριασμούς, υπηρεσίες και δεδομένα.
4. Εγκαταστήστε τις διορθώσεις. Αντιμετωπίστε την ευάλωτη PHP και άλλες επιβεβαιωμένες αδυναμίες.
5. Απομακρύνετε μη εξουσιοδοτημένες αλλαγές. Ελέγξτε για κακόβουλα αρχεία, μηχανισμούς διατήρησης πρόσβασης και άγνωστους λογαριασμούς.
6. Επαναφέρετε από αξιόπιστη κατάσταση. Χρησιμοποιήστε κατάλληλη διαδικασία αποκατάστασης και ελεγμένα backups.
7. Ανανεώστε εκτεθειμένα διαπιστευτήρια. Κωδικοί, API keys και tokens που ενδέχεται να έχουν προσπελαστεί χρειάζονται αξιολόγηση και αντικατάσταση.
8. Παρακολουθήστε τη λειτουργία. Ελέγξτε για νέα σημάδια κακόβουλης δραστηριότητας μετά την αποκατάσταση.

Τι γίνεται με τα προσωπικά δεδομένα;

Σε περίπτωση που επιβεβαιωθεί ή υπάρχουν σοβαρές ενδείξεις παραβίασης προσωπικών δεδομένων, η επιχείρηση πρέπει να αξιολογήσει τις υποχρεώσεις της σύμφωνα με τον GDPR.

Όπου απαιτείται γνωστοποίηση στην εποπτική αρχή, ο GDPR προβλέπει προθεσμία έως 72 ωρών από τη στιγμή που ο υπεύθυνος επεξεργασίας λαμβάνει γνώση της παραβίασης, όπου είναι εφικτό.

Η δημοσίευση μιας ευπάθειας δεν σημαίνει αυτομάτως ότι έχει συμβεί παραβίαση προσωπικών δεδομένων.

12 · Prevention

Πώς προστατεύετε τις PHP εφαρμογές σας στο μέλλον;

Το περιστατικό PHP2Shell δείχνει ότι η ασφάλεια μιας ιστοσελίδας δεν περιορίζεται στην εφαρμογή που βλέπει ο επισκέπτης.

Απαιτείται προστασία σε ολόκληρη την τεχνολογική υποδομή: λειτουργικό σύστημα, web server, PHP runtime, βάσεις δεδομένων, CMS, frameworks και εφαρμογές.

• Διατηρείτε υποστηριζόμενες εκδόσεις PHP.
• Εφαρμόζετε έγκαιρα critical security updates.
• Ενημερώνετε CMS, frameworks, plugins και dependencies.
• Ενεργοποιείτε MFA στους κατάλληλους λογαριασμούς.
• Περιορίζετε τα δικαιώματα εφαρμογών και χρηστών.
• Διατηρείτε τακτικά, ελεγμένα backups.
• Χρησιμοποιείτε monitoring για downtime και security events.
• Ελέγχετε το ιστορικό αλλαγών στον server.
• Διατηρείτε σχέδιο αντιμετώπισης περιστατικών.
• Γνωρίζετε ποιος είναι υπεύθυνος για τις ενημερώσεις του hosting.