Εν ολίγοις: Το αν πρέπει να θέσετε έναν ιστότοπο εκτός λόγω της ευπάθειας PHP εξαρτάται από ένα ερώτημα: Λειτουργεί η PHP σε αυτόν τον διακομιστή αποδεδειγμένα σε διορθωμένη έκδοση και έχουν επανεκκινηθεί όλες οι διεργασίες; Αν ναι, δεν χρειάζεται απενεργοποίηση. Αν η ενημέρωση δεν είναι άμεσα εφικτή, η BSI συνιστά να τεθεί προσωρινά εκτός δικτύου ο διακομιστής ιστού. Η αναμονή είναι δικαιολογημένη μόνο αν το σύστημα δεν χρησιμοποιεί PHP, δεν είναι δημόσια προσβάσιμο ή ο πάροχος έχει επιβεβαιώσει γραπτά το patch.
Η κατάσταση στην οποία πρέπει να αποφασίσετε
Το PHP2Shell περιλαμβάνει δύο ευπάθειες στην ίδια την PHP, CVE-2026-109618 και CVE-2026-109619, αμφότερες βαθμολογημένες με CVSS v4.0 9.2. Επιτρέπουν την εκτέλεση κακόβουλου κώδικα εξ αποστάσεως χωρίς σύνδεση. Διορθωμένες εκδόσεις είναι διαθέσιμες από τις 21/10/2026: 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις.
Η BSI έχει εκδώσει επίπεδο προειδοποίησης πορτοκαλί και συστήνει άμεση ενημέρωση, εναλλακτικά προσωρινή απενεργοποίηση. Σύμφωνα με δημοσιεύματα, η πόλη Mainz, υπηρεσίες της κυβέρνησης της Έσσης και άλλοι δημόσιοι φορείς έθεσαν προληπτικά ιστότοπους εκτός δικτύου· το Κρατικό Επιτελείο της Έσσης δεν ανέφερε επίθεση. Τι μπορούν να συμπεράνουν οι επιχειρήσεις από αυτό, θα βρείτε στο Αρχές θέτουν ιστότοπους εκτός δικτύου.
Για τους υπευθύνους σε επιχειρήσεις το ερώτημα είναι πιο πρακτικό: Τι κάνουμε σήμερα με το e-shop μας, την πύλη μας, τον εταιρικό μας ιστότοπο;
Απενεργοποίηση ιστότοπου, patch ή αναμονή: οι τρεις επιλογές σε σύγκριση
Ο παρακάτω πίνακας θέτει τις επιλογές δίπλα δίπλα. Δεν αντικαθιστά την αξιολόγηση της δικής σας περίπτωσης, κάνει όμως ορατή τη στάθμιση.
| Κριτήριο | Άμεσο patch | Προσωρινή απενεργοποίηση | Αναμονή |
|---|---|---|---|
| Προστασία από το PHP2Shell | Υψηλή, αν το patch και η επανεκκίνηση τεκμηριώνονται | Υψηλή για τη διάρκεια της απενεργοποίησης | Καμία, όσο δεν υπάρχει patch |
| Διακοπή λειτουργίας | Σύντομη, για ενημέρωση και επανεκκίνηση | Ώρες έως ημέρες | Καμία |
| Προϋπόθεση | Υποστηριζόμενη έκδοση PHP, πρόσβαση, παράθυρο συντήρησης | Απόφαση της διοίκησης, στατική εναλλακτική σελίδα | Τεκμηριωμένος λόγος για τον οποίο δεν υπάρχει κίνδυνος |
| Προσπάθεια | Μικρή έως μέτρια | Τεχνικά μικρή, οργανωτικά μεγάλη | Μικρή, αλλά προσπάθεια ελέγχου για την απόδειξη |
| Τυπική περίπτωση | Διακομιστής με PHP 8.2 έως 8.5 | Παλαιό σύστημα με PHP 8.1 ή παλαιότερη, ασαφής κατάσταση | Σύστημα χωρίς PHP ή προσβάσιμο μόνο εσωτερικά |
| Υπολειπόμενος κίνδυνος | Η προηγούμενη παραβίαση παραμένει δυνατή | Η προηγούμενη παραβίαση παραμένει δυνατή | Πλήρως υπαρκτός |
Μια γραμμή αξίζει προσοχή: ούτε το patch ούτε η απενεργοποίηση διευκρινίζουν αν είχε ήδη συμβεί κάτι νωρίτερα. Σύμφωνα με δημοσιεύματα, η πρώτη παρατηρηθείσα απόπειρα επίθεσης έγινε στις 17/10/2026, δηλαδή πριν από το patch. Μια ματιά σε πιθανά ίχνη ανήκει γι' αυτό σε κάθε επιλογή.
Σε πέντε ερωτήματα στην απόφαση
Εξετάστε τα ερωτήματα με τη σειρά. Η πρώτη σαφής απάντηση οδηγεί συνήθως στην απόφαση.
- Λειτουργεί καν PHP στο σύστημα και είναι προσβάσιμο από το διαδίκτυο; Αν όχι, το σύστημα δεν επηρεάζεται άμεσα από το PHP2Shell. Τεκμηριώστε πώς το διαπιστώσατε.
- Τεκμηριώνεται το επίπεδο patch; Τεκμηριωμένο σημαίνει: διορθωμένη έκδοση ή backport με αριθμούς CVE στο changelog του πακέτου και επανεκκίνηση όλων των διεργασιών PHP. Μια ένδειξη έκδοσης στον πίνακα ελέγχου δεν αρκεί. Πώς το ελέγχετε, θα βρείτε στο Σωστός έλεγχος της έκδοσης PHP και του επιπέδου patch.
- Μπορεί η ενημέρωση να εγκατασταθεί τις επόμενες ώρες; Αν ναι: patch, επανεκκίνηση, έλεγχος. Μέχρι τότε μπορούν να βοηθήσουν προσωρινά μέτρα.
- Δεν είναι εφικτό, π.χ. λόγω PHP 8.1 ή έλλειψης πρόσβασης; Τότε η προσωρινή απενεργοποίηση είναι, κατά τη BSI, ο δρόμος. Τα προσωρινά μέτρα κατά το php.net μειώνουν τον κίνδυνο, αλλά δεν προστατεύουν πλήρως· οι λεπτομέρειες υπάρχουν στο Άμεσα μέτρα όταν δεν μπορείτε ακόμη να εφαρμόσετε patch.
- Υπάρχουν ενδείξεις παραβίασης; Τότε το ερώτημα δεν είναι πια «patch ή απενεργοποίηση», αλλά «χειρισμός περιστατικού». Απενεργοποιήστε, διασώστε αποδείξεις, μην διαγράφετε βιαστικά.
Αν απενεργοποιήσετε: απενεργοποιήστε σωστά
Μια απενεργοποίηση πρέπει να αφαιρεί την επιφάνεια επίθεσης και όχι απλώς να κρύβει την αρχική σελίδα. Μια σελίδα συντήρησης που εξακολουθεί να δημιουργείται από PHP δεν εξυπηρετεί αυτόν τον σκοπό. Καλύτερη είναι μια στατική σελίδα HTML που εξυπηρετεί ο διακομιστής ιστού χωρίς PHP ή μια ανακατεύθυνση σε άλλον διακομιστή.
Σκεφτείτε ό,τι εξαρτάται από την ίδια PHP: υποσελίδες, διεπαφές για εφαρμογές ή διαχείριση αποθήκης, περιοχές διαχείρισης, επιστροφές κλήσεων πληρωμών. Μιλήστε εκ των προτέρων με τον πάροχο πληρωμών και με τα logistics, αν επηρεάζεται ένα e-shop. Και ενημερώστε εργαζομένους και πελάτες με σαφείς λέξεις: ο ιστότοπος είναι προληπτικά εκτός λειτουργίας, η επικοινωνία γίνεται τηλεφωνικά και μέσω email. Αυτό είναι καλύτερο από τη σιωπή, που τροφοδοτεί εικασίες.
Σημαντικό είναι και το τέλος της απενεργοποίησης. Ορίστε υπό ποια προϋπόθεση ο ιστότοπος επιστρέφει online, για παράδειγμα «PHP σε διορθωμένη έκδοση, επανεκκίνηση ελεγμένη, πρώτος έλεγχος ιχνών χωρίς εύρημα». Έτσι το χειρόφρενο έκτακτης ανάγκης γίνεται οργανωμένη διαδικασία.
Η απενεργοποίηση δεν είναι ήττα. Αρκετοί δημόσιοι φορείς έκαναν, σύμφωνα με δημοσιεύματα, ακριβώς αυτό, χωρίς να έχει προηγηθεί επίθεση. Μια προληπτική απενεργοποίηση δεν σημαίνει αυτόματα ότι ένας ιστότοπος έχει παραβιαστεί.
Πότε δεν χρειάζεστε πάροχο υπηρεσιών
Δεν απαιτεί κάθε απόφαση εξωτερική βοήθεια. Αν ο ιστότοπός σας βρίσκεται σε πάροχο φιλοξενίας που επιβεβαιώνει γραπτά το επίπεδο patch και την επανεκκίνηση, και δεν υπάρχουν ανωμαλίες, είστε καλά καλυμμένοι με μια σύντομη τεκμηρίωση. Το ίδιο ισχύει όταν το δικό σας IT μπορεί να εφαρμόσει μόνο του patch σε διακομιστή με υποστηριζόμενη έκδοση PHP και κατέχει τον έλεγχο.
Η βοήθεια αξίζει όταν λειτουργούν συστήματα με παλιά έκδοση PHP, η κατάσταση είναι ασαφής, επηρεάζονται πολλοί διακομιστές ή υπάρχουν ενδείξεις παραβίασης.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρινίζουμε μαζί σας σε σύντομο χρόνο ποια συστήματα επηρεάζονται και ποιο επίπεδο patch τεκμηριώνεται.
- Παραδίδουμε στη διοίκηση μια βάση απόφασης σε μία σελίδα: επιλογές, κίνδυνοι, προτεινόμενος δρόμος.
- Υλοποιούμε τον δρόμο που επιλέχθηκε, δηλαδή patch με επανεκκίνηση, προσωρινά μέτρα ή μια καθαρή απενεργοποίηση με στατική εναλλακτική σελίδα, στο πλαίσιο της άμεσης βοήθειας PHP2Shell.
- Ελέγχουμε για ίχνη από τις 17/10/2026 και τεκμηριώνουμε το αποτέλεσμα.
Συμπέρασμα
Το patch είναι η κανονική περίπτωση, η απενεργοποίηση το σωστό χειρόφρενο έκτακτης ανάγκης, η αναμονή δικαιολογημένη μόνο με τεκμήριο. Όποιος απαντά ειλικρινά στα πέντε ερωτήματα και καταγράφει γραπτά την απόφαση, ενεργεί σύμφωνα με τη σύσταση της BSI και μπορεί αργότερα να δείξει γιατί.
Συχνές ερωτήσεις
Πρέπει να θέσω τον ιστότοπό μου εκτός λόγω του PHP2Shell;
Όχι, αν η PHP λειτουργεί ήδη σε διορθωμένη έκδοση και όλες οι διεργασίες έχουν επανεκκινηθεί. Η BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας) συνιστά την προσωρινή απενεργοποίηση για την περίπτωση που δεν είναι δυνατή μια άμεση ενημέρωση.
Τι κοστίζει περισσότερο μια απενεργοποίηση: ο τζίρος ή ο κίνδυνος;
Αυτό απαντάται μόνο κατά περίπτωση. Μια διακοπή ωρών είναι συνήθως πιο προγραμματίσιμη από μια παραβίαση, της οποίας τις συνέπειες και τη διάρκεια δεν γνωρίζει κανείς. Καταγράψτε γραπτά τη στάθμιση, ανεξάρτητα από το πώς καταλήγει.
Επιτρέπεται να λειτουργεί μια σελίδα συντήρησης από τον ίδιο διακομιστή;
Ναι, αν παρέχεται ως στατικό αρχείο χωρίς PHP. Αν η σελίδα συντήρησης εξακολουθεί να δημιουργείται από την PHP, η επιφάνεια επίθεσης παραμένει.
Είναι ποτέ σωστή επιλογή η αναμονή;
Ναι, σε σαφώς οριοθετημένες περιπτώσεις: όταν στο σύστημα δεν λειτουργεί PHP, όταν δεν είναι προσβάσιμο από το διαδίκτυο ή όταν ο πάροχος έχει επιβεβαιώσει γραπτά το patch και την επανεκκίνηση. Η αναμονή χωρίς τέτοια τεκμήρια δεν είναι επιλογή, αλλά κίνδυνος.
Ποιος πρέπει να λάβει την απόφαση;
Το πρόσωπο που φέρει την ευθύνη για τον επιχειρηματικό κίνδυνο, κατά κανόνα η διοίκηση ή ο ιδιοκτήτης. Το IT παρέχει τα γεγονότα. Ποιος αποφασίζει, πρέπει να αναγράφεται εκ των προτέρων στο σχέδιο έκτακτης ανάγκης.