Εν συντομία: Σε έναν managed server ο πάροχος αναλαμβάνει ένα μέρος της ασφάλειας, τυπικά το λειτουργικό σύστημα, τα πακέτα PHP και τις τυπικές υπηρεσίες. Η εφαρμογή, τα plugins, οι προσβάσεις και η ευθύνη σε σχέση με την προστασία δεδομένων παραμένουν συνήθως σε εσάς. Μετά το PHP2Shell πρέπει να ξεκαθαρίσετε και τα δύο γραπτά: τι έκανε ο πάροχος και τι εξακολουθεί να βρίσκεται στα χέρια σας;
Τι σημαίνει «managed» και τι όχι
Ο όρος δεν προστατεύεται. Ένας πάροχος εννοεί ίσως μόνο την εφαρμογή ενημερώσεων του λειτουργικού συστήματος, ένας άλλος φροντίζει και τον διακομιστή ιστού, την PHP, τη βάση δεδομένων και τα αντίγραφα ασφαλείας. Ορισμένα πακέτα περιλαμβάνουν επιτήρηση όλο το εικοσιτετράωρο, άλλα μόνο έναν υπεύθυνο επαφής σε ώρες εργασίας.
Ακριβώς σε μια κατάσταση όπως το PHP2Shell φαίνεται πόσο ακριβής είναι η περιγραφή υπηρεσιών. Οι δύο ευπάθειες CVE-2026-109618 και CVE-2026-109619 βρίσκονται στην ίδια την PHP. Αν ο πάροχός σας συντηρεί την PHP ως μέρος της πλατφόρμας του ή αν η PHP θεωρείται «δικό σας λογισμικό», αναγράφεται στη σύμβαση. Μη βασίζεστε στην υπόθεση ότι κάποιος θα το φροντίσει.
Ασφάλεια managed server: τυπική κατανομή εργασιών
Ο παρακάτω πίνακας δείχνει μια συνήθη κατανομή. Δεν αντικαθιστά τον έλεγχο της σύμβασής σας, βοηθά όμως να τεθούν τα σωστά ερωτήματα.
| Τομέας | Συνήθως στον πάροχο | Συνήθως σε εσάς |
|---|---|---|
| Υλικό, δίκτυο, εικονικοποίηση | ναι | όχι |
| Ενημερώσεις λειτουργικού συστήματος | ναι | όχι |
| Πακέτα PHP από την πλατφόρμα | συχνά | αν τα εγκαταστήσατε εσείς |
| Επανεκκίνηση του PHP-FPM και του διακομιστή ιστού | συχνά | σε δικές σας υπηρεσίες |
| Διαμόρφωση PHP σε επίπεδο διακομιστή | συχνά | σε ειδικές επιθυμίες |
| CMS, ηλεκτρονικό κατάστημα, plugins, δικός σας κώδικας | όχι | ναι |
| Λογαριασμοί διαχειριστή της εφαρμογής | όχι | ναι |
| Αντίγραφα ασφαλείας | συχνά | έλεγχος της επαναφοράς |
| Αξιολόγηση και γνωστοποίηση παραβιάσεων δεδομένων | όχι | ναι |
| Επιτήρηση για επιθέσεις | ανάλογα με το πακέτο | ανάλογα με το πακέτο |
Τα ασαφή πεδία είναι ο πραγματικός κίνδυνος. Όπου θα έπρεπε να γράψετε «ανάλογα με το πακέτο» ή «συχνά», λείπει μια ρύθμιση.
Ποια ερωτήματα πρέπει να θέσετε τώρα
Στείλτε στον πάροχό σας ένα σύντομο, αντικειμενικό αίτημα. Ζητήστε απάντηση σε γραπτή μορφή, ώστε να μπορείτε να την προσκομίσετε αργότερα. Αυτά τα σημεία πρέπει να περιλαμβάνονται:
- Ποιες εκδόσεις PHP εκτελούνται στον διακομιστή μας και προστατεύονται έναντι των CVE-2026-109618 και CVE-2026-109619;
- Από πότε ισχύει αυτό και επανεκκινήθηκαν μετά από αυτό όλες οι διεργασίες PHP και ο διακομιστής ιστού;
- Εφαρμόστηκε η διόρθωση ως backport; Αν ναι, ποια έκδοση πακέτου το τεκμηριώνει;
- Υπήρξαν ενδείξεις για απόπειρες επίθεσης ή ύποπτες διεργασίες στον διακομιστή μας;
- Διατηρούνται τα logs του διακομιστή ιστού από τις 20/10/2026 και πώς θα τα παραλάβουμε;
Ένα πλήρως διατυπωμένο υπόδειγμα υπάρχει στη σελίδα Ρωτήστε τον πάροχο φιλοξενίας για την κατάσταση του patch. Ο αριθμός έκδοσης στο μενού πελάτη δεν αποτελεί απόδειξη: στα backports παραμένει συχνά αμετάβλητος, για παράδειγμα στο 8.2.34.
Ακόμη και αν ο πάροχος έχει κάνει patch στην PHP, η εφαρμογή σας παραμένει προς έλεγχο. Ένα patch δεν αφαιρεί κακόβουλο λογισμικό που εισήχθη πριν από την ενημέρωση και δεν αποδεικνύει ότι δεν συνέβη τίποτα.
Τι παραμένει σε εσάς
Το δικό σας μέρος αφορά κυρίως την εφαρμογή. Ελέγξτε το CMS, το κατάστημα και τα plugins ως προς το τρέχον επίπεδο, αφαιρέστε επεκτάσεις που δεν χρησιμοποιούνται πλέον και ελέγξτε τη λίστα των διαχειριστών. Προσέξτε για νέα αρχεία σε φακέλους uploads, ξένες ανακατευθύνσεις και ασυνήθιστες προγραμματισμένες εργασίες στην εφαρμογή.
Προστίθεται η νομική πλευρά. Αν σε ένα περιστατικό δεδομένα προσωπικού χαρακτήρα περιέλθουν σε αλλότριους, υποχρεωμένη να γνωστοποιήσει είναι κατά κανόνα η επιχείρησή σας ως υπεύθυνος επεξεργασίας και όχι ο πάροχος. Αυτός πρέπει να σας ενημερώσει χωρίς καθυστέρηση ως εκτελών την επεξεργασία. Τις βασικές αρχές εξηγεί η σελίδα Υποχρέωση γνωστοποίησης ΓΚΠΔ: 72 ώρες. Πρόκειται για γενική πληροφόρηση και όχι για νομική συμβουλή· την ειδική περίπτωση την αξιολογούν υπεύθυνοι προστασίας δεδομένων ή δικηγόροι.
Ένα ακόμη σημείο παραβλέπεται συχνά: το λογισμικό που εγκαταστήσατε εσείς ή το πρακτορείο σας στον managed server, για παράδειγμα μια πρόσθετη έκδοση PHP από εξωτερική πηγή, ένα container ή ένα βοηθητικό πρόγραμμα, δεν εμπίπτει συνήθως στη συντήρηση του παρόχου. Ρωτήστε γι' αυτό και αν ο πάροχος γνωρίζει τι εκτελείται πέρα από τον βασικό εξοπλισμό. Και ξεκαθαρίστε ποιος αναλαμβάνει τη διερεύνηση σε περίπτωση υποψίας. Πολλοί πάροχοι επαναφέρουν την πλατφόρμα, δεν διερευνούν όμως αν και ποια δεδομένα επηρεάστηκαν. Ακριβώς αυτή την απάντηση χρειάζεστε για την αξιολόγηση πιθανών υποχρεώσεων γνωστοποίησης.
Βελτίωση των συμβάσεων για το μέλλον
Αξιοποιήστε την κατάσταση για να καταγράψετε την κατανομή εργασιών. Σκόπιμες είναι ρυθμίσεις για τις ενημερώσεις ασφαλείας συμπεριλαμβανομένης της επανεκκίνησης, για την ενημέρωση σε κρίσιμες ευπάθειες, για τη διατήρηση και παράδοση των logs και για την υποστήριξη σε περιστατικά. Ρωτήστε επίσης αν ο πάροχος σάς ειδοποιεί ενεργά ή αν πρέπει να ρωτάτε εσείς.
Ένας δικός σας διακομιστής χωρίς υποστήριξη είναι η εναλλακτική, μεταφέρει όμως ολόκληρη την εργασία σε εσάς. Τι σημαίνει αυτό, περιγράφει η σελίδα Ασφάλεια του δικού σας root server και vServer.
Πώς βοηθά συγκεκριμένα το PHP SOS;
- Διαβάζουμε την περιγραφή υπηρεσιών σας και καταρτίζουμε έναν πίνακα αρμοδιοτήτων που καθιστά ορατά τα κενά.
- Διατυπώνουμε τα τεχνικά ερωτήματα προς τον πάροχό σας και αξιολογούμε τις απαντήσεις του.
- Ελέγχουμε το μέρος της εφαρμογής που βρίσκεται σε εσάς για ίχνη και παρωχημένα στοιχεία.
- Ό,τι δεν καλύπτει ο πάροχος, το αναλαμβάνουμε κατόπιν επιθυμίας μέσω σύμβασης συντήρησης ασφάλειας ή το συμπληρώνουμε με παρακολούθηση ασφάλειας.
Συχνές ερωτήσεις
Είναι αυτόματα ασφαλής ένας managed server;
Όχι. Το «managed» σημαίνει ότι ο πάροχος αναλαμβάνει ορισμένες εργασίες που ορίζονται συμβατικά, συνήθως το λειτουργικό σύστημα και τις τυπικές υπηρεσίες. Η εφαρμογή, τα plugins, οι προσβάσεις και το δικό σας λογισμικό παραμένουν συχνά σε εσάς.
Πού αναγράφεται για τι είναι αρμόδιος ο πάροχός μου;
Στην περιγραφή υπηρεσιών και στους όρους της σύμβασης, συχνά και σε ένα έγγραφο κατανομής εργασιών. Για δεδομένα προσωπικού χαρακτήρα προστίθεται η σύμβαση επεξεργασίας για λογαριασμό υπευθύνου επεξεργασίας. Αν λείπει σαφής ρύθμιση για τις ενημερώσεις ασφαλείας, ρωτήστε γραπτά.
Πρέπει παρά τον managed server να κάνω κάτι και εγώ για το PHP2Shell;
Ναι. Ζητήστε επιβεβαίωση ότι όλες οι εκδόσεις PHP έχουν patch και ότι οι διεργασίες έχουν επανεκκινηθεί. Ελέγξτε επιπλέον την εφαρμογή σας για ίχνη και ξεκαθαρίστε αν υπάρχει υποχρέωση γνωστοποίησης.
Ποιος γνωστοποιεί μια παραβίαση δεδομένων, αν επηρεάστηκε ο πάροχος;
Υποχρεωμένος να γνωστοποιήσει στην εποπτική αρχή είναι κατά κανόνα ο υπεύθυνος επεξεργασίας, δηλαδή η επιχείρησή σας. Ο πάροχος, ως εκτελών την επεξεργασία, πρέπει να σας ενημερώσει χωρίς καθυστέρηση. Αφήστε την αξιολόγηση της συγκεκριμένης περίπτωσης στον υπεύθυνο προστασίας δεδομένων σας.