Εν συντομία: Το αν επηρεάζεστε από το PHP2Shell εξαρτάται από τρία πράγματα: την έκδοση PHP, τον τρόπο λειτουργίας και το αν και πώς εφαρμόστηκε patch. Αν έχετε αμφιβολίες, επικοινωνήστε μαζί μας τώρα. Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε. Το διευκρινίζουμε εξ αποστάσεως στον ίδιο τον διακομιστή, όχι με εικασίες, και κλείνουμε την ευπάθεια αν είναι ανοιχτή.
Μη διαγράψετε τίποτα και μη στήσετε τίποτα από την αρχή. Ακόμη κι αν θέλετε μόνο να διευκρινίσετε αν επηρεάζεστε: αν ο διακομιστής έχει ίσως ήδη δεχτεί επίθεση, χρειαζόμαστε τα αρχεία και τα logs αμετάβλητα. Δηλώστε το περιστατικό και θα περάσουμε μαζί τον έλεγχο.
Επηρεάζεστε; Αυτές οι περιπτώσεις ανήκουν στη λίστα ελέγχου
Το PHP2Shell είναι δύο κρίσιμες ευπάθειες στην ίδια την PHP (CVE-2026-109618 και CVE-2026-109619, και οι δύο με τη μέγιστη βαθμολογία 9.2 κατά CVSS v4.0). Επιτρέπουν την εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση. Μπορούν να επηρεάζονται όλοι οι τρόποι λειτουργίας: PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Ελέγξτε καθένα από αυτά τα συστήματα:
- δικοί σας διακομιστές, vServer και root διακομιστές με PHP
- πακέτα φιλοξενίας και διαχειριζόμενοι διακομιστές, ακόμη και αν δεν έχετε πρόσβαση στη διαμόρφωση
- containers και υπηρεσίες πλατφόρμας που περιλαμβάνουν image PHP
- δοκιμαστικά συστήματα, περιβάλλοντα staging και ξεχασμένα παλιά συστήματα που είναι προσβάσιμα από το διαδίκτυο
- NAS, συσκευές (appliances) ή λογισμικό παρόχων που χρησιμοποιεί εσωτερικά PHP
Ιδιαίτερα τα ξεχασμένα συστήματα αποτελούν τον κίνδυνο. Σύμφωνα με την Unit 42 υπάρχουν περισσότερες από 22,6 εκατομμύρια εκτεθειμένες, δυνητικά ευάλωτες εγκαταστάσεις, και το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) υπολόγιζε ότι θα ακολουθήσει γρήγορα εκτεταμένη εκμετάλλευση.
Τι κάνετε αμέσως τώρα
- Καταρτίστε απογραφή. Καταγράψτε όλους τους διακομιστές, τα domains και τα συμβόλαια φιλοξενίας όπου εκτελείται PHP, και ποιος είναι υπεύθυνος για αυτά.
- Εντοπίστε την έκδοση PHP ανά σύστημα. Στους διακομιστές με
php -v. Λάβετε υπόψη ότι η γραμμή εντολών μπορεί να χρησιμοποιεί άλλη έκδοση από τον διακομιστή ιστού. - Διευκρινίστε τον τρόπο λειτουργίας. Εκτελείται η PHP ως PHP-FPM, ως mod_php ή μέσω LiteSpeed; Στο mod_php η ομάδα της PHP εκτιμά τον κίνδυνο ως τον υψηλότερο.
- Ρωτήστε τον πάροχο φιλοξενίας και τους συνεργάτες σας. Γραπτά: Ποια έκδοση εκτελείται, εφαρμόστηκε η διόρθωση, επανεκκινήθηκαν όλες οι διεργασίες;
- Διατηρήστε τα logs. Ο εξειδικευμένος Τύπος συνιστά τη διατήρηση των logs από τις 20.10.2026.
- Μην περιμένετε πολύ. Αν ένα σύστημα είναι ανοιχτό και το patch δεν είναι άμεσα δυνατό, το BSI συνιστά να τεθεί προσωρινά εκτός δικτύου ο διακομιστής ιστού.
Πώς βοηθά συγκεκριμένα η PHP SOS;
Διευκρινίζουμε εξ αποστάσεως και με τεκμήρια αν επηρεάζεστε.
- Καταγραφή της κατάστασης: Ακούμε την απογραφή σας και ταξινομούμε τα συστήματα κατά προσβασιμότητα και κίνδυνο.
- Διάσωση και κλείσιμο: Όπου η ευπάθεια είναι ανοιχτή, διασώζουμε πρώτα την κατάσταση και κατόπιν κλείνουμε την ευπάθεια με ενημέρωση και επανεκκίνηση. Όπου αυτό δεν είναι άμεσα δυνατό, εφαρμόζουμε προσωρινά μέτρα, τα οποία δεν αποτελούν πλήρη προστασία.
- Έλεγχος και καθαρισμός: Ελέγχουμε αν η ευπάθεια εκμεταλλεύτηκε πριν από το patch και καθαρίζουμε, αν χρειάζεται. Διακρίνουμε με σαφήνεια αν ένας διακομιστής επηρεάζεται και αν ίσως έχει ήδη δεχτεί επίθεση.
- Σκλήρυνση και αναφορά: Λαμβάνετε μια λίστα ανά σύστημα: έκδοση, τρόπος λειτουργίας, απόδειξη patch, ανοιχτά σημεία.
Πώς τεκμηριώνετε ότι επηρεάζεστε
Ο αριθμός έκδοσης από μόνος του δεν αρκεί, επειδή οι πάροχοι κάνουν backport των διορθώσεων. Το Ubuntu 24.04 εμφανίζει για παράδειγμα, σύμφωνα με αναφορές, ακόμη και μετά την ενημέρωση την έκδοση 8.3.6. Τρεις τρόποι είναι αξιόπιστοι:
| Τρόπος | Τι δείχνει | Όριο |
|---|---|---|
| Σύγκριση της έκδοσης με τις εκδόσεις διόρθωσης | Η 8.5.12, 8.4.27, 8.3.36 ή 8.2.35 ή νεότερη είναι διορθωμένη | ισχύει μόνο για πρωτότυπες εκδόσεις, όχι για backports |
Έλεγχος του memory_hard_limit_percent |
Το bool(false) σημαίνει: άγνωστη οδηγία, άρα επηρεάζεται |
εκτέλεση ξεχωριστά ανά έκδοση και τρόπο λειτουργίας |
| Αναζήτηση αριθμών CVE στο changelog του πακέτου | τεκμηριώνει backports σε διανομές | πηγή είναι το αρχείο ασφαλείας του παρόχου |
Ο έλεγχος μοιάζει ως εξής:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Πώς ελέγχετε σωστά την έκδοση και το επίπεδο patch, αναφέρει η σελίδα Σωστός έλεγχος έκδοσης PHP και επιπέδου patch. Μια επισκόπηση των κλάδων δίνει η σελίδα Ποιες εκδόσεις PHP επηρεάζονται;. Γιατί η ένδειξη μπορεί να φαίνεται παλιά παρά το patch, εξηγεί το άρθρο Το php -v δείχνει παλιό αριθμό.
Επηρεάζονται και δεν μπορούν πλέον να ενημερωθούν: PHP 8.1 και παλαιότερες
Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις από το έργο PHP, μόνο ελάχιστα backports πηγαίου κώδικα για τις 7.4, 8.0 και 8.1. Όποιος χρησιμοποιεί τέτοια έκδοση έχει συνήθως δύο δρόμους: έναν πάροχο με αποδεδειγμένο backport ή τη μετάβαση σε έκδοση που συντηρείται. Υπάρχουν εμπορικές προσφορές μακροχρόνιας υποστήριξης, το αν και πότε καλύπτουν το PHP2Shell πρέπει να το επιβεβαιώσει γραπτά ο πάροχος. Βοηθάμε στην ταξινόμηση στη σελίδα PHP 8.1 και παλαιότερες: τι ισχύει τώρα και στην υλοποίηση μέσω της Υπηρεσίας patch PHP.
Τι να μας στείλετε
- Λίστα των διακομιστών, των domains και των παρόχων φιλοξενίας σας
- Έκδοση PHP ανά σύστημα, στο μέτρο που είναι γνωστή
- Τρόπος λειτουργίας και διακομιστής ιστού, στο μέτρο που είναι γνωστά
- Ένδειξη αν παρεμβάλλεται η Cloudflare ή άλλη προστασία και αν ο διακομιστής προέλευσης είναι άμεσα προσβάσιμος
- Απαντήσεις του παρόχου φιλοξενίας σας, αν έχετε ήδη ρωτήσει
- Υπεύθυνο πρόσωπο για εγκρίσεις και επανεκκινήσεις
Γιατί PHP SOS
Εργαζόμαστε Made in Germany και είμαστε εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Έχετε έναν υπεύθυνο επικοινωνίας που περνά την απογραφή σας και τεκμηριώνει κάθε δήλωση, αντί να διαβάζει απλώς αριθμούς έκδοσης. Εργαζόμαστε εξ αποστάσεως, χωρίς μετακίνηση, και τεκμηριώνουμε τι ελέγξαμε. Μια δήλωση όπως «ασφαλές» την κάνουμε μόνο στο βαθμό που μπορεί να τεκμηριωθεί. Για μεγαλύτερα περιβάλλοντα προσφέρεται η Άμεση βοήθεια PHP2Shell.
Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.
Αν δεν ξέρετε αν επηρεάζεστε, αυτό αρκεί ως λόγος να επικοινωνήσετε τώρα. Τηλεφωνήστε ή γράψτε μας στο WhatsApp. Αναλαμβάνουμε από το πρώτο μήνυμα και το διευκρινίζουμε μαζί σας στον διακομιστή. Δηλώστε τώρα το περιστατικό.
Συχνές ερωτήσεις
Επηρεάζομαι από το PHP2Shell, αν χρησιμοποιώ μόνο WordPress ή ένα e-shop;
Πιθανώς ναι. Οι ευπάθειες βρίσκονται στην PHP και όχι στο CMS. Καθοριστικό είναι ποια έκδοση PHP και ποιος τρόπος λειτουργίας εξυπηρετεί πράγματι στην περίπτωσή σας· μια ενημέρωση του WordPress δεν το αλλάζει αυτό.
Αρκεί ο αριθμός έκδοσης για να ξέρω αν έχω εφαρμόσει patch;
Όχι πάντα. Διανομές και πάροχοι φιλοξενίας εφαρμόζουν ενίοτε διορθώσεις ως backport και τότε ο αριθμός μένει ο ίδιος. Αξιόπιστα στοιχεία είναι το changelog του πακέτου με τους αριθμούς CVE ή η γραπτή επιβεβαίωση του παρόχου σας.
Υπάρχει γρήγορος έλεγχος για το αν η έκδοση PHP μου περιέχει τη διόρθωση;
Σύμφωνα με το εγχειρίδιο της PHP, μια έκδοση που δεν γνωρίζει την οδηγία memory_hard_limit_percent επηρεάζεται. Ο έλεγχος πρέπει να εκτελεστεί ξεχωριστά για κάθε έκδοση PHP και κάθε τρόπο λειτουργίας, επειδή η γραμμή εντολών μπορεί να χρησιμοποιεί άλλη έκδοση από τον διακομιστή ιστού.
Επηρεάζονται και παλαιότερες εκδόσεις PHP, όπως η 7.4 ή η 8.0;
Σύμφωνα με τον εξειδικευμένο Τύπο, επηρεάζονται σχεδόν όλες οι εκδόσεις έως και την PHP 5.4. Για την 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις από το έργο PHP, μόνο ελάχιστα backports πηγαίου κώδικα. Το αν ένας πάροχος τα έχει εφαρμόσει πρέπει να το επιβεβαιώσει ο ίδιος.
Με προστατεύει η Cloudflare, αν επηρεάζομαι;
Εν μέρει. Η Cloudflare έχει ενεργοποιήσει κανόνες προστασίας, προειδοποιεί όμως η ίδια ότι δεν αντικαθιστούν την ενημέρωση. Αν ο διακομιστής προέλευσης είναι άμεσα προσβάσιμος, η προστασία παρακάμπτεται.