Εν συντομία: Σε μια ευπάθεια PHP όπως το PHP2Shell, στο web hosting αρμόδιος για την ενημέρωση της PHP είναι ο πάροχος και όχι εσείς. Δική σας δουλειά είναι να ζητήσετε γραπτή επιβεβαίωση, να επιλέξετε στο μενού πελάτη μια υποστηριζόμενη έκδοση PHP και να ελέγξετε τον ιστότοπό σας για ίχνη επίθεσης. Ένα patch του παρόχου δεν αφαιρεί κακόβουλο λογισμικό που έφτασε νωρίτερα στον ιστότοπό σας.
Η κατάσταση με απλά λόγια
Η PHP είναι η γλώσσα προγραμματισμού με την οποία λειτουργούν οι περισσότεροι ιστότοποι, ηλεκτρονικά καταστήματα και CMS όπως το WordPress. Το PHP2Shell είναι η ονομασία για δύο κρίσιμα σφάλματα στην ίδια την PHP (CVE-2026-109618 και CVE-2026-109619). Μέσω αυτών οι επιτιθέμενοι μπορούν να εκτελέσουν δικό τους κώδικα στον διακομιστή χωρίς κωδικό. Το BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας) κήρυξε επίπεδο προειδοποίησης 3 (πορτοκαλί) και συνιστά άμεση ενημέρωση.
Στο shared hosting πολλοί πελάτες μοιράζονται έναν διακομιστή. Την τεχνική υποδομή από κάτω, δηλαδή το λειτουργικό σύστημα, τον διακομιστή ιστού και την PHP, τη λειτουργεί ο πάροχος. Εσείς διαχειρίζεστε μόνο τον ιστότοπο, τη βάση δεδομένων και τις προσβάσεις σας. Γι' αυτό δεν μπορείτε να εφαρμόσετε μόνοι σας την ενημέρωση της PHP και δεν χρειάζεται να το κάνετε.
Web hosting και ευπάθεια PHP: ποιος είναι αρμόδιος;
Η κατανομή προκύπτει από τη σύμβασή σας. Στα περισσότερα πακέτα ισχύει περίπου η εξής διάκριση:
| Εργασία | Πάροχος | Εσείς ως πελάτης |
|---|---|---|
| Ενημέρωση των πακέτων PHP | ναι | όχι |
| Επανεκκίνηση των διεργασιών PHP | ναι | όχι |
| Ορισμός προσωρινών τιμών σε επίπεδο διακομιστή | ναι | όχι |
| Επιλογή έκδοσης PHP για τον ιστότοπό σας | την παρέχει | επιλέγετε |
| Ενημέρωση CMS, plugins, themes | όχι | ναι |
| Στοιχεία πρόσβασης και λογαριασμοί διαχειριστή | όχι | ναι |
| Έλεγχος του ιστοτόπου για κακόβουλο κώδικα | εν μέρει | ναι |
| Αξιολόγηση σε σχέση με την προστασία δεδομένων | όχι | ναι |
Σημαντική είναι η τελευταία γραμμή: αν στον ιστότοπό σας συμβεί περιστατικό με δεδομένα προσωπικού χαρακτήρα, υπεύθυνος είναι κατά κανόνα εσείς ως διαχειριστής και όχι ο πάροχος. Περισσότερα στη σελίδα Υποχρέωση γνωστοποίησης ΓΚΠΔ.
Τι πρέπει να κάνετε εσείς τώρα
1. Ζητήστε επιβεβαίωση. Ρωτήστε γραπτά τον πάροχο αν οι εκδόσεις PHP του πακέτου σας προστατεύονται έναντι και των δύο CVE, από πότε, και αν έχουν επανεκκινηθεί όλες οι διεργασίες PHP. Ένα έτοιμο υπόδειγμα θα βρείτε στη σελίδα Ρωτήστε τον πάροχο φιλοξενίας για την κατάσταση του patch. Μην εκπλαγείτε αν στο μενού πελάτη εξακολουθεί να εμφανίζεται παλαιότερος αριθμός έκδοσης όπως 8.2.34: ορισμένοι πάροχοι παραδίδουν διορθώσεις ως backport, χωρίς να αλλάζει ο αριθμός.
2. Ελέγξτε την έκδοση PHP. Δείτε στο μενού πελάτη ποια έκδοση PHP χρησιμοποιεί ο ιστότοπός σας. Για την PHP 8.1 και παλαιότερες το έργο PHP δεν παρέχει πλέον επίσημες ενημερώσεις. Η PHP 8.2 φτάνει στις 31/12/2026 στο τέλος της υποστήριξης. Αν το CMS σας αντέχει νεότερη έκδοση, το ελέγχετε με βάση τις απαιτήσεις συστήματος του κατασκευαστή, για παράδειγμα στο wordpress.org.
3. Ελέγξτε τον ιστότοπο. Προσέξτε για άγνωστους λογαριασμούς διαχειριστή, απροσδόκητες ανακατευθύνσεις, ξένα αρχεία στην πρόσβαση FTP και προειδοποιήσεις στο Google Search Console. Μια λίστα με τυπικές ενδείξεις υπάρχει στη σελίδα Έχω ήδη παραβιαστεί;.
4. Δημιουργήστε αντίγραφο ασφαλείας. Κατεβάστε ένα τρέχον αντίγραφο αρχείων και βάσης δεδομένων και φυλάξτε το χωριστά. Ζητήστε επιπλέον από τον πάροχο να διατηρήσει τα αρχεία καταγραφής πρόσβασης του πακέτου σας από τις 20/10/2026.
Μετά την επιβεβαίωση του παρόχου, αλλάξτε προληπτικά τους κωδικούς για το μενού πελάτη, το FTP/SFTP, τη βάση δεδομένων και τους διαχειριστές του CMS και ενεργοποιήστε, όπου είναι δυνατό, τη σύνδεση δύο παραγόντων.
Τι δεν μπορείτε να λύσετε μόνοι σας στο shared hosting
Τα προσωρινά μέτρα που συνιστά το php.net, όπως το session.upload_progress.enabled=0, έχουν αποτέλεσμα μόνο όταν οριστούν στη διαμόρφωση του διακομιστή. Μια καταχώριση στο .user.ini ή μέσω ini_set() στον κώδικα δεν αρκεί σύμφωνα με το php.net. Και τα όρια μνήμης σε επίπεδο cgroup και η επανεκκίνηση των διεργασιών PHP βρίσκονται στα χέρια του παρόχου.
Αν ο πάροχός σας δεν απαντά ή απαντά αόριστα, έχετε τρεις δυνατότητες: να επανέλθετε και να θέσετε προθεσμία, να θέσετε προσωρινά τον ιστότοπο σε λειτουργία συντήρησης ή να μεταβείτε σε πάροχο με σαφή δήλωση. Το BSI συνιστά να αποσυνδέονται προσωρινά οι διακομιστές ιστού από το δίκτυο, όταν μια ενημέρωση δεν είναι άμεσα δυνατή.
Ελέγξτε επιπλέον αν το πακέτο σας εξακολουθεί να είναι σύγχρονο. Πακέτα που λειτουργούν αμετάβλητα εδώ και πολλά χρόνια βρίσκονται ορισμένες φορές σε παλαιότερες γενιές διακομιστών με παλαιότερες εκδόσεις PHP, τις οποίες ο πάροχος συντηρεί πλέον μόνο περιορισμένα. Η μετάβαση σε ένα τρέχον πακέτο του ίδιου παρόχου συνεπάγεται συχνά μικρή προσπάθεια και φέρνει νεότερες εκδόσεις PHP. Ρωτήστε γι' αυτό, αν η απάντηση για την κατάσταση του patch είναι μη ικανοποιητική.
Όταν ο ιστότοπος παρουσιάζει ήδη ανωμαλίες
Ένα patch από τον πάροχο κλείνει την ευπάθεια για το μέλλον. Δεν αφαιρεί όμως κερκόπορτα που έχουν τοποθετήσει νωρίτερα οι επιτιθέμενοι και δεν αποδεικνύει ότι δεν είχε συμβεί τίποτα πριν. Αν εντοπίσετε ανωμαλίες, μη διαγράψετε αρχεία στην τύχη. Διασώστε πρώτα την κατάσταση, ώστε η αιτία να παραμείνει αργότερα ανιχνεύσιμη.
Πώς βοηθά συγκεκριμένα το PHP SOS;
- Διατυπώνουμε μαζί σας το αίτημα προς τον πάροχο και αξιολογούμε τεχνικά την απάντησή του.
- Ελέγχουμε τον ιστότοπό σας για webshells, ξένους λογαριασμούς και παραποιημένα αρχεία και, σε περίπτωση ευρήματος, τον καθαρίζουμε μέσω της αφαίρεσης κακόβουλου λογισμικού.
- Σε περίπτωση οξείας υποψίας αναλαμβάνουμε την επείγουσα βοήθεια για παραβιασμένους ιστοτόπους με διασφάλιση αποδείξεων.
- Βοηθούμε στην επιλογή κατάλληλης έκδοσης PHP και δοκιμάζουμε έπειτα τον ιστότοπο.
Συχνές ερωτήσεις
Πρέπει ως πελάτης φιλοξενίας να ενημερώσω μόνος μου την PHP;
Κατά κανόνα όχι, επειδή στο shared hosting η PHP ανήκει στην πλατφόρμα του παρόχου. Συχνά όμως μπορείτε να επιλέξετε την έκδοση PHP στο μενού πελάτη. Αν εκεί εμφανίζεται έκδοση χωρίς επίσημες ενημερώσεις, πρέπει να αλλάξετε ή να ρωτήσετε τον πάροχο πώς την προστατεύει.
Ο ιστότοπός μου είναι εκτός σύνδεσης. Έχω πέσει θύμα επίθεσης;
Όχι απαραίτητα. Ορισμένοι πάροχοι αποσύνδεσαν προληπτικά ιστοτόπους από το δίκτυο για να κλείσουν την ευπάθεια. Ρωτήστε τον πάροχο για τον λόγο και ζητήστε επιβεβαίωση αν υπάρχουν ενδείξεις επίθεσης στο πακέτο σας.
Μπορώ να ορίσω μόνος μου τα προσωρινά μέτρα στο .user.ini;
Για το session.upload_progress.enabled το php.net αναφέρει ρητά ότι το .user.ini και το ini_set() δεν αρκούν. Αυτή τη ρύθμιση πρέπει να την ορίσει ο πάροχος στη διαμόρφωση του διακομιστή.
Τι πρέπει να έχω γραπτά από τον πάροχο;
Μια επιβεβαίωση ότι οι εκδόσεις PHP του πακέτου σας έχουν προστατευθεί έναντι των CVE-2026-109618 και CVE-2026-109619, από πότε ισχύει αυτό και ότι οι διεργασίες PHP έχουν επανεκκινηθεί. Φυλάξτε αυτή την απάντηση μαζί με τα έγγραφά σας.