# Χακαρισμένο e-shop; Ασφάλεια πληροφορικής για εμπόρους

> E-shop χακαρισμένο ή εκτεθειμένο στο PHP2Shell; Πώς προστατεύουν οι έμποροι λογαριασμούς πελατών, checkout και τζίρο και οργανώνουν τις πρώτες ώρες.

Πηγή: https://phpsos.de/el/branchen/onlineshops/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν συντομία:** Αν το e-shop σας έχει χακαριστεί ή λειτουργεί με PHP χωρίς patch, διακυβεύονται ταυτόχρονα τρία πράγματα: τα δεδομένα πελατών, το checkout και ο τζίρος σας. Θέστε το κατάστημα ελεγχόμενα σε λειτουργία συντήρησης, διασώστε τα logs από τις 20/10/2026 και διευκρινίστε ποιος ενημερώνει και επανεκκινεί την PHP στον διακομιστή σας.

## Τι διακυβεύεται σε ένα ηλεκτρονικό κατάστημα

Ένα κατάστημα είναι κάτι περισσότερο από έναν ιστότοπο. Διαχειρίζεται λογαριασμούς πελατών με hashes κωδικών, διευθύνσεις παράδοσης και τιμολόγησης, ιστορικό παραγγελιών, κουπόνια και συχνά και διεπαφές προς τη διαχείριση αποθήκης, τις εταιρείες μεταφορών και τα marketplaces. Όποιος μπορεί να εκτελέσει κώδικα στον διακομιστή φτάνει κατά κανόνα στη βάση δεδομένων και στα κλειδιά API που είναι αποθηκευμένα εκεί.

Τα στοιχεία καρτών δεν βρίσκονται συνήθως σε εσάς, αλλά στον πάροχο πληρωμών. Αυτό καθησυχάζει μόνο εν μέρει: ένας επιτιθέμενος μπορεί να εισαγάγει στη διαδικασία παραγγελίας JavaScript που διαβάζει τα δεδομένα στον περιηγητή. Τέτοια σενάρια skimming σχεδόν δεν γίνονται αντιληπτά στη λειτουργία του καταστήματος, επειδή οι παραγγελίες ολοκληρώνονται απολύτως κανονικά.

Προστίθενται οι διεπαφές. Ένα κατάστημα που παραδίδει παραγγελίες στη διαχείριση αποθήκης, στις εταιρείες μεταφορών και στα marketplaces αποθηκεύει τα κλειδιά πρόσβασης γι' αυτά συνήθως σε αρχεία διαμόρφωσης στον διακομιστή. Όποιος τα αντιγράψει μπορεί να δημιουργεί ετικέτες αποστολής εξ ονόματος του εμπόρου, να αλλάζει αποθέματα ή να καταχράται λογαριασμούς marketplace.

## Τυπικά συστήματα καταστημάτων και γιατί τα επηρεάζει το PHP2Shell

Τα διαδεδομένα συστήματα καταστημάτων στις μικρομεσαίες επιχειρήσεις εκτελούνται σε PHP: [Shopware 6](https://phpsos.de/el/plattformen/shopware-6/), [WooCommerce](https://phpsos.de/el/plattformen/woocommerce/), Magento, OXID, PrestaShop και πολλές παλαιότερες εγκαταστάσεις Shopware 5. Το PHP2Shell (CVE-2026-109618 και CVE-2026-109619, με CVSS 9,2 η καθεμία) βρίσκεται στην ίδια την PHP. Οι επιτιθέμενοι δεν χρειάζονται λογαριασμό πελάτη ούτε πρόσβαση διαχειριστή.

Για τους εμπόρους αυτό σημαίνει: η τελευταία ενημέρωση του καταστήματος δεν προστατεύει. Αποφασιστικό είναι αν η PHP στον διακομιστή βρίσκεται στις εκδόσεις 8.5.12, 8.4.27, 8.3.36 ή 8.2.35 ή αν ο πάροχος φιλοξενίας έχει εγκαταστήσει backport, και αν μετά από αυτό επανεκκινήθηκαν όλες οι διεργασίες PHP. Στα παλιά καταστήματα με PHP 8.1 ή παλαιότερη δεν υπάρχουν πλέον επίσημες ενημερώσεις από το έργο PHP. Τότε, εκτός από την έκτακτη ανάγκη, εκκρεμεί μια μετάβαση, την οποία δεν θέλετε να κάνετε υπό πίεση χρόνου στην περίοδο αιχμής.

## Χακαρισμένο e-shop: τι σημαίνει συγκεκριμένα ένα περιστατικό

Ένα παραβιασμένο κατάστημα προκαλεί ζημιά σε πολλά επίπεδα, που ενισχύουν το ένα το άλλο:

- **Τζίρος:** Κάθε ώρα λειτουργίας συντήρησης κοστίζει παραγγελίες. Ένα κατάστημα που συνεχίζει απαρατήρητο να λειτουργεί μπορεί όμως να βγει σαφώς ακριβότερο.
- **Δεδομένα πελατών:** Διευθύνσεις και παραγγελίες που διέρρευσαν χρησιμοποιούνται για στοχευμένα μηνύματα phishing, που φαίνονται αληθινά επειδή αναφέρουν πραγματικές παραγγελίες.
- **Ορατότητα:** Αν το Google εντοπίσει κακόβουλο κώδικα, εμφανίζεται προειδοποίηση στα αποτελέσματα αναζήτησης. Πώς θα την απομακρύνετε, θα βρείτε στον οδηγό [Αφαίρεση προειδοποίησης Google](https://phpsos.de/el/ratgeber/google-warnung-entfernen/).
- **Συνεργάτες:** Οι πάροχοι πληρωμών και τα marketplaces έχουν δικούς τους κανόνες για περιστατικά ασφαλείας. Όποιος γνωστοποιεί αργά, κινδυνεύει να έχει προβλήματα στον διακανονισμό.

## Ποιος είναι αρμόδιος: πρακτορείο, πάροχος φιλοξενίας ή έμπορος;

Σε πολλά καταστήματα το ζήτημα της PHP πέφτει ανάμεσα σε όλους. Το πρακτορείο έχει κατασκευάσει το κατάστημα και συντηρεί τα plugins, ο πάροχος φιλοξενίας λειτουργεί τον διακομιστή και ο έμπορος υποθέτει ότι ένας από τους δύο θα το φροντίσει. Στο managed hosting κατά κανόνα εφαρμόζει patch ο πάροχος, σε δικό σας vServer κανείς αυτόματα.

| Εργασία | Τυπικά αρμόδιος | Ελέγξτε |
|---|---|---|
| Ενημέρωση του πακέτου PHP | Πάροχος φιλοξενίας ή υπεύθυνος του διακομιστή | Γραπτή επιβεβαίωση με το επίπεδο του πακέτου |
| Επανεκκίνηση των διεργασιών PHP | Όποιος διαχειρίζεται τον διακομιστή | Χρονική στιγμή της επανεκκίνησης |
| Κατάστημα και plugins | Πρακτορείο | Σύμβαση συντήρησης και προσβάσεις |
| Ενημέρωση παρόχου πληρωμών | Έμπορος | Συμβατικές υποχρεώσεις γνωστοποίησης |

> **Σημαντικό:**
> Ένα patch της PHP δεν αποδεικνύει ότι δεν συνέβη τίποτα νωρίτερα. Αν το κατάστημα δέχθηκε επίθεση μεταξύ της 17/10 και της στιγμής του patch, ο κώδικας που εισήχθη μπορεί να συνεχίσει να εκτελείται. Ζητήστε έλεγχο πριν δώσετε το «ελεύθερο».

## Οι πρώτες ώρες: σειρά ενεργειών για εμπόρους

1. Θέστε το κατάστημα σε λειτουργία συντήρησης ή, αν αυτό δεν είναι δυνατό, αποσυνδέστε το προσωρινά από το δίκτυο.
2. Διασώστε τα logs του διακομιστή ιστού, της PHP και του καταστήματος από τις 20/10/2026, προτού τα διαγράψει η εναλλαγή (rotation).
3. Ζητήστε γραπτή επιβεβαίωση από τον πάροχο φιλοξενίας για το επίπεδο του πακέτου PHP και την επανεκκίνηση.
4. Ανανεώστε τους κωδικούς διαχειριστή, τα κλειδιά API για πληρωμές, αποστολές και marketplaces, καθώς και τις προσβάσεις στη βάση δεδομένων, και μάλιστα μόνο μετά τον καθαρισμό.
5. Ελέγξτε το checkout, τα plugins πληρωμών και τα ενσωματωμένα σενάρια για αλλαγές.

Αν υπάρχουν ενδείξεις διαρροής δεδομένων, τρέχει η [προθεσμία 72 ωρών του ΓΚΠΔ](https://phpsos.de/el/compliance/dsgvo-meldepflicht-72-stunden/). Τη νομική αξιολόγηση την κάνετε με τον υπεύθυνο προστασίας δεδομένων σας και, ενδεχομένως, με τον δικηγόρο σας.

## Πώς βοηθά συγκεκριμένα η PHP SOS;

- Ελέγχουμε εξ αποστάσεως το πραγματικό επίπεδο του πακέτου PHP, τον τρόπο λειτουργίας (π.χ. mod_php ή PHP-FPM) και αν επανεκκινήθηκαν όλα τα worker.
- Εξετάζουμε τα αρχεία του καταστήματος, τη βάση δεδομένων και το checkout για webshells, κώδικα skimming και νέους λογαριασμούς διαχειριστή και [αφαιρούμε το κακόβουλο λογισμικό που θα βρεθεί](https://phpsos.de/el/leistungen/malware-entfernung/).
- Συντονιζόμαστε με το πρακτορείο και τον πάροχο φιλοξενίας σας, ώστε η συντήρηση του καταστήματος και η λειτουργία του διακομιστή να μην αλληλοπαρακάμπτονται.
- Τεκμηριώνουμε τα ευρήματα και τα μέτρα με τρόπο ώστε να μπορείτε να τα καταθέσετε στον πάροχο πληρωμών, στην ασφαλιστική εταιρεία και στον υπεύθυνο προστασίας δεδομένων.
- Στη συνέχεια σκληρύνουμε τον διακομιστή και, αν το επιθυμείτε, αναλαμβάνουμε τη διαρκή παρακολούθηση.


## Συχνές ερωτήσεις

**Πρέπει να βγάλω το κατάστημά μου εκτός δικτύου εξαιτίας του PHP2Shell;**  
Το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) συνιστά να τίθενται προσωρινά εκτός δικτύου οι διακομιστές ιστού, όταν η ενημέρωση της PHP δεν είναι άμεσα εφικτή. Για ένα κατάστημα, η λειτουργία συντήρησης με σελίδα ενημέρωσης είναι συχνά καλύτερη λύση από ένα μήνυμα σφάλματος. Μόλις η PHP διορθωθεί και επανεκκινηθούν όλες οι διεργασίες, το κατάστημα μπορεί να ανοίξει ξανά.

**Κινδυνεύουν τα στοιχεία πιστωτικών καρτών στο κατάστημά μου;**  
Στα περισσότερα καταστήματα τα στοιχεία καρτών δεν βρίσκονται στον δικό σας διακομιστή, αλλά στον πάροχο πληρωμών. Επικίνδυνος είναι όμως ο παραποιημένος κώδικας στο checkout, που υποκλέπτει τα δεδομένα πριν φτάσουν στον πάροχο. Γι' αυτό το checkout περιλαμβάνεται σε κάθε έλεγχο μετά από επίθεση.

**Αρκεί να ενημερώσω το Shopware ή το WooCommerce;**  
Όχι. Το PHP2Shell αφορά την ίδια την PHP και όχι το σύστημα του καταστήματος. Μια ενημέρωση του καταστήματος δεν κλείνει την ευπάθεια και ένα patch της PHP δεν αφαιρεί κακόβουλο κώδικα που έχει ήδη εισαχθεί.

**Ποιον πρέπει να ενημερώσω μετά από διαρροή δεδομένων;**  
Όταν πρόκειται για δεδομένα προσωπικού χαρακτήρα, έρχεται σε εξέταση η γνωστοποίηση στην εποπτική αρχή προστασίας δεδομένων εντός 72 ωρών και, ανάλογα με τον κίνδυνο, η ενημέρωση των θιγόμενων προσώπων. Προστίθενται συμβατικές υποχρεώσεις έναντι του παρόχου πληρωμών και της ασφαλιστικής εταιρείας. Την αξιολόγηση σε κάθε περίπτωση την κάνετε με τον υπεύθυνο προστασίας δεδομένων και δικηγόρο.

## Πηγές

- [php.net: Ανακοινώσεις ασφαλείας](https://www.php.net/)
- [BSI: Προειδοποιήσεις και συστάσεις](https://www.bsi.bund.de/)
- [Άρθρο 33 ΓΚΠΔ: Γνωστοποίηση στην εποπτική αρχή](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)