# PHP σε NAS, firewalls και appliances: τα ξεχασμένα συστήματα

> Ευπάθεια PHP σε NAS, firewall και appliance: ποιες συσκευές μπορούν να χρησιμοποιούν PHP, πώς τις βρίσκετε και τι να κάνετε μέχρι την ενημέρωση firmware.

Πηγή: https://phpsos.de/el/blog/php-auf-nas-und-appliances/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν ολίγοις:** Η PHP δεν τρέχει μόνο σε διακομιστές ιστού, αλλά και στις διεπαφές ιστού συστημάτων NAS, firewalls και εξειδικευμένων συσκευών ή σε πακέτα διακομιστή ιστού που έχετε εγκαταστήσει σε ένα NAS. Το αν μια συσκευή επηρεάζεται από το PHP2Shell μπορεί να το πει μόνο ο κατασκευαστής· η ενημέρωση έρχεται μέσω του firmware. Το καθήκον σας είναι να βρείτε αυτές τις συσκευές, να αποσύρετε τις διεπαφές ιστού τους από το διαδίκτυο και να παρακολουθείτε τις ανακοινώσεις των κατασκευαστών.

## Γιατί οι συσκευές με διεπαφή ιστού ανήκουν στο ζήτημα PHP

Όταν γίνεται λόγος για το PHP2Shell, οι περισσότεροι σκέφτονται τον ιστότοπο της εταιρείας ή το ηλεκτρονικό κατάστημα. Η PHP όμως βρίσκεται και σε συσκευές που κανείς δεν θεωρεί διακομιστές ιστού. Βρίσκονται στην αίθουσα διακομιστών ή στο γραφείο, έχουν διεπαφή ιστού για τη διαχείριση και λειτουργούν συχνά για χρόνια χωρίς προσοχή.

Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 αφορούν, σύμφωνα με το php.net, την ίδια την PHP στους τρόπους λειτουργίας PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Αν η διεπαφή ιστού μιας συσκευής χρησιμοποιεί έναν από αυτούς τους τρόπους με ευπαθή έκδοση, ο κίνδυνος ισχύει εκεί με τον ίδιο τρόπο. Η διαφορά: την PHP στη συσκευή κατά κανόνα δεν μπορείτε να την ενημερώσετε μόνοι σας.

Ότι τέτοια συστήματα ξεχνιούνται έχει χειροπιαστούς λόγους. Συχνά τα έχει στήσει ένας πάροχος υπηρεσιών που εδώ και καιρό δεν τα συντηρεί. Οι ενημερώσεις firmware δεν τρέχουν αυτόματα, αλλά απαιτούν ένα κλικ που δεν κάνει κανείς. Και ορισμένες συσκευές φέρνουν βολικές λειτουργίες απομακρυσμένης πρόσβασης που καθιστούν τη διεπαφή ιστού προσβάσιμη από το διαδίκτυο χωρίς να το γνωρίζει η πληροφορική. Σε μια ευπάθεια PHP όπως το PHP2Shell, αυτή η ευκολία γίνεται κίνδυνος.

## Ευπάθεια PHP σε NAS και appliances: ποια συστήματα προκύπτουν

Αναφέρουμε εδώ είδη συσκευών, όχι δήλωση για μεμονωμένα μοντέλα. Το αν επηρεάζεται ένα συγκεκριμένο firmware αναγράφεται αποκλειστικά στις ανακοινώσεις του κατασκευαστή.

| Είδος συσκευής | Πώς εμπλέκεται η PHP | Ποιος ενημερώνει |
|---|---|---|
| NAS με πακέτο διακομιστή ιστού | Λειτουργείτε δικούς σας ιστότοπους PHP ή εφαρμογές στο NAS | Ο κατασκευαστής παραδίδει το πακέτο PHP, εσείς το εγκαθιστάτε |
| Διανομές firewall και router | Τμήματα της διεπαφής διαχείρισης είναι γραμμένα σε PHP | Ο κατασκευαστής μέσω firmware |
| Εξειδικευμένες συσκευές με διεπαφή ιστού | π.χ. τηλεφωνικά κέντρα, καταγραφή χρόνου, τεχνολογία κτιρίων, εφόσον ο κατασκευαστής χρησιμοποιεί PHP | Ο κατασκευαστής ή εξειδικευμένος μεταπωλητής |
| Εικονικά appliances | προδιαμορφωμένα VMs με δική τους διεπαφή ιστού | Ο κατασκευαστής μέσω image ενημέρωσης |
| Containers στο NAS | εφαρμογές PHP σε containers Docker | Εσείς, μέσω νέου image |

Δύο τεκμηριωμένα παραδείγματα: η Synology επιτρέπει στο Web Station τη λειτουργία ιστότοπων PHP με επιλέξιμα προφίλ PHP και έχει ανακοινώσει το τέλος της υποστήριξης για PHP 7.3, 7.4 και 8.0 στο DSM 7.3. Οι ανακοινώσεις ασφαλείας της Netgate για το pfSense περιγράφουν αρχεία PHP και μηνύματα σφάλματος PHP της διεπαφής ιστού. Αυτό δείχνει μόνο ότι η PHP υπάρχει εκεί, όχι ότι αυτά τα προϊόντα επηρεάζονται από το PHP2Shell.

## Απογραφή: έτσι βρίσκετε τα ξεχασμένα συστήματα

Το σημαντικότερο βήμα είναι ένας κατάλογος. Πολλές επιχειρήσεις γνωρίζουν ακριβώς ποιους ιστότοπους λειτουργούν, όχι όμως ποιες συσκευές έχουν διεπαφή ιστού. Πώς μοιάζει μια διαρκής απογραφή, περιγράφει το άρθρο [Απογραφή όλων των ιστότοπων και διακομιστών](https://phpsos.de/el/blog/inventar-websites-server/).

1. **Καταγράψτε το δίκτυο:** συγκεντρώστε τις συσκευές από τη λίστα DHCP και από την επισκόπηση του switch ή του firewall.
2. **Σημειώστε τις διεπαφές ιστού:** σημειώστε για κάθε συσκευή αν διαχειρίζεται μέσω HTTP ή HTTPS.
3. **Ελέγξτε τις εκχωρήσεις:** απαριθμήστε τις προωθήσεις θυρών και τις υπηρεσίες απομακρυσμένης πρόσβασης στο router. Κάθε διεπαφή ιστού που είναι προσβάσιμη από το διαδίκτυο ανεβαίνει στην κορυφή.
4. **Αντιστοιχίστε τον κατασκευαστή:** καταγράψτε μοντέλο, επίπεδο firmware και σύνδεσμο προς τις ανακοινώσεις ασφαλείας του κατασκευαστή.
5. **Καταγράψτε τις δικές σας υπηρεσίες:** αναφέρετε χωριστά τα πακέτα διακομιστή ιστού και τα containers που έχουν εγκατασταθεί σε συστήματα NAS.

Μια πρώτη ένδειξη μπορεί να αποκτηθεί με ένα αβλαβές ερώτημα των κεφαλίδων. Η εντολή ζητά μόνο την αρχική σελίδα και δεν αλλάζει τίποτα:

```bash
# Εμφάνιση των κεφαλίδων διακομιστή μιας διεπαφής ιστού (η διεύθυνση ως παράδειγμα)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
```

Αν εμφανίζεται εκεί ένδειξη PHP, αποτελεί σημείο αναφοράς. Αν λείπει, δεν αποδεικνύει τίποτα, γιατί πολλές συσκευές αποκρύπτουν σκόπιμα τέτοιες πληροφορίες.

## Τι μπορείτε να κάνετε όταν δεν μπορείτε να κάνετε μόνοι σας patch

Στις συσκευές το patch βρίσκεται στον κατασκευαστή. Η προσβασιμότητα βρίσκεται σε εσάς και ακριβώς εκεί βρίσκεται ο μεγαλύτερος μοχλός. Η BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφορικής της Γερμανίας) συνιστά στο PHP2Shell να αποσυρθούν προσωρινά από το δίκτυο οι διακομιστές ιστού χωρίς ενημέρωση· για διεπαφές διαχείρισης συσκευών ισχύει αναλόγως πολύ περισσότερο.

- **Απόσυρση από το διαδίκτυο:** αφαιρέστε τις προωθήσεις θυρών προς διεπαφές ιστού και επιτρέψτε απομακρυσμένη πρόσβαση μόνο μέσω VPN.
- **Διαχωρισμός δικτύου διαχείρισης:** κάντε τις διεπαφές ιστού προσβάσιμες μόνο από ξεχωριστό τμήμα δικτύου για διαχειριστές. Το υπόβαθρο στο άρθρο [Θωράκιση των περιοχών διαχείρισης](https://phpsos.de/el/blog/admin-bereiche-abschirmen/).
- **Απενεργοποίηση των αχρησιμοποίητων:** απενεργοποιήστε πακέτα διακομιστή ιστού ή εφαρμογές στο NAS που δεν τα χρειάζεται πλέον κανείς.
- **Παρακολούθηση ανακοινώσεων firmware:** ενεργοποιήστε τις ειδοποιήσεις ενημέρωσης και εγκαθιστάτε τις ενημερώσεις έγκαιρα μόλις τις ελευθερώσει ο κατασκευαστής.
- **Αντικατάσταση παλαιών συσκευών:** μη λειτουργείτε πλέον συσκευές χωρίς υποστήριξη κατασκευαστή ως προσβάσιμες από το διαδίκτυο και προγραμματίστε την αντικατάστασή τους.

> **Συμβουλή:**
> Αν λειτουργείτε σε ένα NAS δικούς σας ιστότοπους PHP, για αυτούς ισχύει ό,τι και για κάθε διακομιστή ιστού: έλεγχος έκδοσης, ενημέρωση πακέτου, επανεκκίνηση της υπηρεσίας. Τα βασικά για την ευπάθεια εξηγεί το [Τι είναι το PHP2Shell;](https://phpsos.de/el/php2shell/was-ist-php2shell/).

## Όταν μια συσκευή ήταν εκτεθειμένη στο δίκτυο

Αν μια διεπαφή ιστού ήταν προσβάσιμη από το διαδίκτυο μεταξύ 17 και 21 Οκτωβρίου και η συσκευή επηρεάζεται, δεν πρέπει απλώς να την ενημερώσετε. Ελέγξτε αν άλλαξαν λογαριασμοί, κοινόχρηστοι φάκελοι ή προωθήσεις, διασφαλίστε τα διαθέσιμα πρωτόκολλα και αλλάξτε τα διαπιστευτήρια πρόσβασης. Μια συσκευή που βρέθηκε με έναν επιτιθέμενο στο δίκτυο μπορεί να χρησιμεύσει ως εφαλτήριο προς άλλα συστήματα.

Στα firewalls και τα routers αυτό είναι ιδιαίτερα λεπτό, επειδή βλέπουν όλη την κίνηση δεδομένων. Σε περίπτωση αμφιβολίας, η επαναφορά στις εργοστασιακές ρυθμίσεις με καθαρή νέα διαμόρφωση είναι πιο αξιόπιστη από την αναζήτηση μεμονωμένων ιχνών· πριν από αυτό πρέπει να έχουν διασφαλιστεί πρωτόκολλα και διαμόρφωση.

Στο NAS προστίθεται το ερώτημα των δεδομένων. Εκεί βρίσκονται συχνά συμβάσεις, έγγραφα προσωπικού ή δεδομένα πελατών. Αν ένας επιτιθέμενος μπορούσε να αποκτήσει πρόσβαση στη συσκευή, πρέπει να διευκρινίσετε αν ενδέχεται να θίγονται δεδομένα προσωπικού χαρακτήρα· τότε μπορεί να υπάρχει υποχρέωση γνωστοποίησης σύμφωνα με τον ΓΚΠΔ. Συζητήστε το νωρίς με τον υπεύθυνο προστασίας δεδομένων σας· αυτό δεν αποτελεί νομική συμβουλή.

## Πώς βοηθά συγκεκριμένα η PHP SOS;

- **Καταγραφή του αποθέματος:** Καταγράφουμε μαζί σας όλα τα συστήματα με διεπαφή ιστού, και NAS, appliances και εικονικά μηχανήματα.
- **Έλεγχος προσβασιμότητας:** Ελέγχουμε από έξω ποιες διεπαφές είναι προσβάσιμες από το διαδίκτυο και προτείνουμε αποκλεισμούς. Βαθύτερο έλεγχο προσφέρει ο [έλεγχος ασφαλείας με δοκιμή διείσδυσης](https://phpsos.de/el/leistungen/sicherheitsaudit-penetrationstest/).
- **Παρακολούθηση της κατάστασης των κατασκευαστών:** Αντιστοιχίζουμε τις ανακοινώσεις ασφαλείας των κατασκευαστών στις συσκευές σας και προγραμματίζουμε ενημερώσεις.
- **Διευκρίνιση υποψίας:** Αν μια επηρεαζόμενη συσκευή ήταν εκτεθειμένη στο δίκτυο, διασφαλίζουμε πρωτόκολλα και ελέγχουμε για ίχνη.


## Συχνές ερωτήσεις

**Επηρεάζεται το NAS μου από το PHP2Shell;**  
Αυτό μπορεί να το πει δεσμευτικά μόνο ο κατασκευαστής για το μοντέλο και το firmware σας. Ελέγξτε τις ανακοινώσεις ασφαλείας του και αν λειτουργείτε στο ίδιο το NAS ιστότοπους PHP, για παράδειγμα μέσω πακέτου διακομιστή ιστού. Μέχρι να διευκρινιστεί, η διεπαφή δεν πρέπει να είναι προσβάσιμη από το διαδίκτυο.

**Μπορώ να ενημερώσω μόνος μου την PHP σε ένα NAS ή σε ένα firewall;**  
Κατά κανόνα όχι. Η PHP αποτελεί εκεί μέρος του firmware ή ενός πακέτου του κατασκευαστή. Οι ενημερώσεις έρχονται μέσω της λειτουργίας ενημέρωσης της συσκευής. Χειροκίνητες παρεμβάσεις στο firmware μπορεί να θέσουν σε κίνδυνο την εγγύηση και τη σταθερότητα.

**Αρκεί να χρησιμοποιώ τη διεπαφή ιστού μόνο στο τοπικό δίκτυο;**  
Μειώνει σημαντικά τον κίνδυνο, δεν τον εξαλείφει όμως. Ένας υπολογιστής που έχει ήδη παραβιαστεί στο ίδιο δίκτυο μπορεί να συνεχίσει να φτάνει στη διεπαφή. Καλύτερο είναι ένα δικό δίκτυο διαχείρισης ή πρόσβαση μόνο μέσω VPN.

**Πώς καταλαβαίνω ότι μια συσκευή χρησιμοποιεί PHP;**  
Μερικές φορές το αποκαλύπτει η κεφαλίδα του διακομιστή ή η κατάληξη .php στις διευθύνσεις της διεπαφής. Αν λείπουν τέτοιες ενδείξεις, αυτό δεν αποδεικνύει τίποτα. Αξιόπιστες είναι η τεκμηρίωση του κατασκευαστή και οι ανακοινώσεις ασφαλείας.

## Πηγές

- [php.net: ανακοινώσεις ασφαλείας](https://www.php.net/)
- [BSI: Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφορικής της Γερμανίας](https://www.bsi.bund.de/)
- [Synology: τέλος υποστήριξης για PHP 7.3, 7.4 και 8.0](https://www.synology.com/en-global/products/status/eol-php73-php74-php80)
- [Netgate: pfSense Security Advisory SA-24_03 (διεπαφή ιστού)](https://docs.netgate.com/downloads/pfSense-SA-24_03.webgui.asc)