Εν ολίγοις: Τι κάνει ένας πελάτης φιλοξενίας για την ευπάθεια PHP2Shell της PHP; Την ενημέρωση της PHP συνήθως δεν χρειάζεται να την εγκαταστήσετε εσείς, στο shared hosting την αναλαμβάνει ο πάροχος. Δικά σας καθήκοντα είναι άλλα: να ζητήσετε γραπτή επιβεβαίωση του επιπέδου patch, να επιλέξετε στο μενού πελάτη μια υποστηριζόμενη έκδοση PHP και να ελέγξετε τον ιστότοπό σας για ανωμαλίες. Τις 15 συχνότερες ερωτήσεις γι' αυτό απαντά το άρθρο αυτό σύντομα και με τη σειρά.
Ευπάθεια PHP ως πελάτης φιλοξενίας: επηρεάζομαι, τι να κάνω;
Από τις 21 Οκτωβρίου 2026 λαμβάνουμε πολλές ερωτήσεις από επιχειρήσεις των οποίων ο ιστότοπος βρίσκεται σε πάροχο φιλοξενίας. Οι περισσότερες αφορούν τα ίδια σημεία. Όποιος θέλει να διαβάσει αναλυτικότερα τις αρμοδιότητες, τις βρίσκει στη σελίδα Shared hosting: τι κάνει ο πάροχος και τι πρέπει να κάνετε εσείς.
1. Επηρεάζεται καν ο ιστότοπός μου;
Αν ο ιστότοπός σας τρέχει με WordPress, Shopware, TYPO3, Joomla, Contao ή άλλο σύστημα PHP, ο διακομιστής από κάτω ενδέχεται να επηρεάζεται. Καθαρές σελίδες HTML χωρίς PHP δεν επηρεάζονται. Σε περίπτωση αμφιβολίας βοηθά μια ματιά στο μενού πελάτη: αν υπάρχει εκεί ρύθμιση για την έκδοση PHP, χρησιμοποιείτε PHP.
2. Ποια είναι η διαφορά μεταξύ shared hosting και δικού μου διακομιστή;
Στο shared hosting μοιράζεστε έναν διακομιστή, που τον λειτουργεί ο πάροχος, με άλλους πελάτες· ο πάροχος φροντίζει την PHP. Σε δικό σας root server ή vServer είστε οι ίδιοι αρμόδιοι. Σε managed διακομιστή η σύμβαση ρυθμίζει ποιος εγκαθιστά τις ενημερώσεις.
3. Ο πάροχός μου έστειλε μαζικό email. Πρέπει να κάνω κάτι ακόμη;
Διαβάστε προσεκτικά τι γράφει. Ένα μαζικό email επιβεβαιώνει συχνά μόνο ότι ο πάροχος «δουλεύει πάνω στο θέμα». Χρειάζεστε δήλωση για το δικό σας πακέτο: κλάδος PHP, επίπεδο patch, χρονική στιγμή και επανεκκίνηση.
Αρμοδιότητα και ενημέρωση
4. Εγκαθιστά ο πάροχος την ενημέρωση αυτόματα;
Κατά κανόνα ναι, για τις εκδόσεις PHP που προσφέρει στους διακομιστές του. Το αν έχει ήδη γίνει και αν καλύπτονται και παλαιότερες εκδόσεις, διαφέρει από πάροχο σε πάροχο. Ρωτήστε.
5. Το μενού πελάτη μου δείχνει παλιό αριθμό έκδοσης. Είμαι απροστάτευτος;
Όχι απαραίτητα. Πολλοί πάροχοι ενσωματώνουν διορθώσεις ως backport, ο αριθμός μένει τότε ίδιος. Το Plesk, για παράδειγμα, μπορεί να εξακολουθεί να δείχνει 8.2.34, παρόλο που το σφάλμα έχει διορθωθεί. Αποφασιστική είναι η επιβεβαίωση του παρόχου.
6. Χρησιμοποιώ ακόμη PHP 7.4 ή 8.1. Τι τώρα;
Αυτοί οι κλάδοι δεν λαμβάνουν πλέον επίσημες ενημερώσεις από το έργο PHP. Ορισμένοι πάροχοι παρέχουν δικές τους διορθώσεις, άλλοι όχι. Διευκρινίστε το γραπτώς και σχεδιάστε τη μετάβαση σε υποστηριζόμενο κλάδο. Ελέγξτε προηγουμένως στις απαιτήσεις συστήματος του CMS σας ποιες εκδόσεις PHP υποστηρίζει.
7. Μπορώ να αλλάξω μόνος μου την έκδοση PHP;
Στους περισσότερους παρόχους ναι, στο μενού πελάτη. Πώς γίνεται και τι πρέπει να προσέξετε προηγουμένως, περιγράφει το άρθρο Αλλαγή έκδοσης PHP στην περιοχή πελατών της φιλοξενίας. Κάντε προηγουμένως αντίγραφο ασφαλείας.
8. Βοηθά η ενημέρωση του WordPress ή των plugin;
Για το PHP2Shell όχι, γιατί η ευπάθεια βρίσκεται στην PHP. Οι ενημερώσεις του CMS έχουν παρ' όλα αυτά νόημα, επειδή κλείνουν άλλες ευπάθειες.
Έλεγχος και απόδειξη
9. Πώς λαμβάνω απόδειξη από τον πάροχο;
Με ένα γραπτό αίτημα που ζητά συγκεκριμένα στοιχεία: επίπεδο πακέτου ανά κλάδο PHP, ημερομηνία εγκατάστασης, επανεκκίνηση όλων των διεργασιών PHP. Πρότυπο για αντιγραφή προσφέρει ο οδηγός Αίτημα επιβεβαίωσης ενημέρωσης PHP από τον πάροχο φιλοξενίας.
10. Μπορώ να εφαρμόσω προσωρινά μέτρα μέσω .user.ini;
Όχι. Το php.net αποτρέπει ρητά να οριστούν οι προσωρινές ρυθμίσεις μέσω ini_set() ή .user.ini. Ανήκουν στη διαμόρφωση του διακομιστή και αυτήν στο shared hosting τη διαχειρίζεται ο πάροχος.
11. Ο ιστότοπός μου ήταν για λίγο εκτός λειτουργίας. Παραβιάστηκα;
Όχι απαραίτητα. Ορισμένοι πάροχοι απενεργοποίησαν προληπτικά ιστότοπους ή επανεκκίνησαν διακομιστές. Ρωτήστε για τον λόγο προτού βγάλετε συμπεράσματα.
12. Από τι καταλαβαίνω ότι ο ιστότοπός μου δέχθηκε επίθεση;
Πιθανές ενδείξεις είναι άγνωστοι λογαριασμοί διαχειριστή, νέα αρχεία PHP στον φάκελο μεταφόρτωσης, ανακατευθύνσεις σε ξένες σελίδες, ξένες σελίδες στο ευρετήριο της Google ή προειδοποιήσεις στο Search Console. Ζητήστε από τον πάροχο να φυλάξει τα logs πρόσβασης από τις 20 Οκτωβρίου.
Όταν κάτι δεν πάει καλά
13. Ο πάροχος δεν απαντά ή απαντά ασαφώς. Τι κάνω;
Ρωτήστε γραπτώς και θέστε εύλογη προθεσμία. Αν δεν έρθει απάντηση, πρέπει να αντιμετωπίσετε τον διακομιστή ως μη ελεγμένο και να εξετάσετε το ενδεχόμενο να μεταβείτε προσωρινά σε στατική σελίδα έκτακτης ανάγκης.
14. Να αλλάξω πάροχο φιλοξενίας;
Μια αλλαγή στη μέση της κατάστασης δημιουργεί δικούς της κινδύνους. Έχει νόημα όταν ο πάροχος μόνιμα δεν δίνει πληροφορίες ή συνεχίζει να λειτουργεί παλιές εκδόσεις PHP χωρίς διόρθωση. Τι πρέπει να προσέξετε, περιγράφει το άρθρο Αλλαγή παρόχου φιλοξενίας μετά από περιστατικό.
15. Πρέπει να δηλώσω κάτι;
Αν υπάρχουν ενδείξεις επίθεσης και ενδέχεται να επηρεάζονται δεδομένα προσωπικού χαρακτήρα, μπορεί να υπάρχει υποχρέωση γνωστοποίησης βάσει ΓΚΠΔ, κατά κανόνα εντός 72 ωρών. Διευκρινίστε το με τον υπεύθυνο προστασίας δεδομένων ή με δικηγόρο. Αυτό δεν αποτελεί νομική συμβουλή.
Η σύντομη λίστα ελέγχου σας
- Ρωτήστε γραπτώς τον πάροχο για το επίπεδο patch και την επανεκκίνηση.
- Ελέγξτε την έκδοση PHP στο μενού πελάτη, αντικαταστήστε ξεπερασμένους κλάδους.
- Εξετάστε τους λογαριασμούς διαχειριστή και τον φάκελο μεταφόρτωσης.
- Ελέγξτε το Search Console για προειδοποιήσεις.
- Αν υπάρχουν ανωμαλίες, ζητήστε βοήθεια προτού διαγράψετε αρχεία.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρίνιση με τον πάροχο φιλοξενίας: Διατυπώνουμε το αίτημα ή κάνουμε τη συζήτηση και αξιολογούμε την απάντηση.
- Έλεγχος του ιστότοπου: Αναζητούμε ίχνη σε αρχεία, βάση δεδομένων και λογαριασμούς, στον βαθμό που το επιτρέπει το πακέτο φιλοξενίας.
- Καθαρισμός: Αν βρούμε κακόβουλο κώδικα, τον αφαιρούμε και αλλάζουμε όλες τις προσβάσεις.
- Τεκμηρίωση: Λαμβάνετε την κατάσταση γραπτώς.
Σε περίπτωση συγκεκριμένης υποψίας βοηθά η επείγουσα βοήθεια για παραβιασμένους ιστότοπους.
Συμπέρασμα
Ως πελάτης φιλοξενίας δεν φέρετε στο PHP2Shell το βάρος της ενημέρωσης, φέρετε όμως την ευθύνη για τον ιστότοπό σας. Οι περισσότερες ερωτήσεις λύνονται με μια σαφή γραπτή απάντηση του παρόχου σας. Ό,τι απομένει είναι το βλέμμα στον δικό σας ιστότοπο: λογαριασμοί, αρχεία, ειδοποιήσεις της Google. Όποιος έκανε και τα δύο, έκανε το μερίδιό του και μπορεί, σε περίπτωση αμφιβολίας, να αποδείξει ότι ενήργησε με επιμέλεια.
Συχνές ερωτήσεις
Ποιος είναι αρμόδιος για την ενημέρωση της PHP στη φιλοξενία ιστοτόπων;
Στο shared hosting κατά κανόνα ο πάροχος φιλοξενίας, γιατί εκείνος λειτουργεί τον διακομιστή και την εγκατάσταση της PHP. Εσείς είστε υπεύθυνοι για τον ιστότοπό σας, τις προσβάσεις σας και την επιλογή της έκδοσης PHP στο μενού πελάτη. Στους managed διακομιστές τη διανομή ρυθμίζει η σύμβαση.
Γιατί ο πάροχός μου εμφανίζει παλιά έκδοση PHP;
Πολλοί πάροχοι φιλοξενίας και διανομές ενσωματώνουν τη διόρθωση ως backport στην υπάρχουσα έκδοση. Ο αριθμός μένει τότε ίδιος, παρόλο που η ευπάθεια έχει κλείσει. Βασιστείτε γι' αυτό σε γραπτή επιβεβαίωση του παρόχου και όχι στην ένδειξη.
Τι μπορώ να ελέγξω ο ίδιος ως πελάτης φιλοξενίας;
Μπορείτε να ελέγξετε την ορισμένη έκδοση PHP στο μενού πελάτη, να εξετάσετε τους λογαριασμούς διαχειριστή του CMS σας, να αναζητήσετε άγνωστα αρχεία στον φάκελο μεταφόρτωσης και να ελέγξετε το Search Console για προειδοποιήσεις. Το επίπεδο patch του ίδιου του διακομιστή μπορεί να το τεκμηριώσει μόνο ο πάροχος.
Βοηθά μια ρύθμιση firewall στο πακέτο φιλοξενίας;
Κανόνες firewall του παρόχου ή μιας προτεταγμένης υπηρεσίας μπορούν να μειώσουν τον κίνδυνο. Δεν αντικαθιστούν όμως την ενημέρωση της PHP στον διακομιστή. Ρωτήστε γι' αυτό πάντα πρώτα για την ενημέρωση.