PHP2Shell: τι έγινε αυτή την εβδομάδα και τι να κάνετε αν το site σας τρέχει σε PHP

Τι συνέβη

Η PHP είναι η γλώσσα προγραμματισμού πίσω από τα περισσότερα site. Το WordPress, το WooCommerce, το Joomla, το Drupal και πολλά custom site βασίζονται σε αυτήν. Η Wiz Research, μια εταιρεία κυβερνοασφάλειας, βρήκε σοβαρά σφάλματα στον ίδιο τον πυρήνα της PHP, όχι σε κάποιο πρόσθετο. Τα ανέφερε στην ομάδα ασφαλείας της PHP τον Αύγουστο του 2026 και τα ονόμασε PHP2Shell.

Στις 20 Οκτωβρίου η ομάδα της PHP προειδοποίησε ότι έρχεται κρίσιμη ενημέρωση ασφαλείας. Στις 21 Οκτωβρίου δημοσίευσε τις διορθώσεις και κάλεσε όλους να κάνουν ενημέρωση άμεσα. Και τα δύο κενά βαθμολογούνται με 9,2 στα 10 ως προς τη σοβαρότητα.

Με απλά λόγια, τα σφάλματα βρίσκονται στον τρόπο που η PHP καθαρίζει τη μνήμη μετά από ορισμένα λάθη, για παράδειγμα όταν ένα αίτημα χρησιμοποιεί υπερβολική μνήμη. Ένας επιτιθέμενος μπορεί να στείλει ειδικά διαμορφωμένα αιτήματα που αφήνουν την PHP σε ασταθή κατάσταση και μετά να το εκμεταλλευτεί για να τρέξει δικό του κώδικα στον server. Δεν χρειάζεται κωδικό ή λογαριασμό στο site σας. Η Wiz αναφέρει ότι τα σφάλματα μπορούν επίσης να οδηγήσουν σε διαρροή μνήμης του server, η οποία μπορεί να περιέχει κωδικούς και κλειδιά API.

Η Wiz λέει επίσης ότι χρησιμοποίησε εργαλεία AI για να βρει τα σφάλματα και να φτιάξει λειτουργικές επιθέσεις. Αυτός είναι ένας από τους λόγους που η είδηση διαδόθηκε τόσο γρήγορα: έδειξε ότι σοβαρά κενά σε παλιό, ευρέως διαδεδομένο λογισμικό μπορούν πλέον να εντοπιστούν πολύ πιο γρήγορα από πριν.

Γιατί είναι σοβαρό

Τρία πράγματα έκαναν τις ομάδες ασφαλείας σε όλη την Ευρώπη να αντιδράσουν γρήγορα:

• Επηρεάζει σχεδόν κάθε site σε PHP. Η ανακοίνωση της PHP αναφέρει ότι όλες οι εγκαταστάσεις PHP που εξυπηρετούν ιστοσελίδες βρίσκονται σε κίνδυνο. Η Wiz λέει ότι επηρεάζεται κάθε έκδοση PHP της τελευταίας δεκαετίας.
• Οι επιθέσεις ξεκίνησαν αμέσως. Σύμφωνα με το The Hacker News, η Cloudflare είδε απόπειρες επίθεσης μέσα σε 45 λεπτά από τη δημοσιοποίηση και μέχρι νωρίς στις 22 Οκτωβρίου είχαν φτάσει τα εκατομμύρια. Κάποιες εταιρείες ασφαλείας ανέφεραν προσπάθειες εγκατάστασης κακόβουλου λογισμικού botnet. Άλλες λένε ότι μια αξιόπιστη επίθεση είναι πιο δύσκολο να στηθεί απ' ό,τι φάνηκε αρχικά.
• Η Ευρώπη εξέδωσε κοινή προειδοποίηση. Στις 21 Οκτωβρίου η Ευρωπαϊκή Επιτροπή, ο ENISA, η CERT-EU, η Europol και το δίκτυο των εθνικών CSIRT εξέδωσαν κοινή ανακοίνωση καλώντας τους οργανισμούς να προχωρήσουν σε ενημέρωση, ξεκινώντας από οτιδήποτε είναι εκτεθειμένο στο διαδίκτυο.

Ποιες εκδόσεις είναι ασφαλείς

Σύμφωνα με την ανακοίνωση της CERT-EU, οι διορθωμένες εκδόσεις είναι:

• PHP 8.5.12 ή νεότερη
• PHP 8.4.27 ή νεότερη
• PHP 8.3.36 ή νεότερη
• PHP 8.2.35 ή νεότερη

Οι εκδόσεις PHP 8.1, 8.0, 7.4 και οι παλαιότερες έχουν φτάσει στο τέλος του κύκλου ζωής τους. Η ομάδα της PHP δεν βγάζει επίσημες ενημερώσεις για αυτές. Δημοσίευσε ωστόσο βασικές διορθώσεις για όσους χτίζουν την PHP μόνοι τους, ενώ αρκετές εταιρείες hosting και διανομές Linux παρέχουν δικές τους ενημερωμένες εκδόσεις. Σημειώστε επίσης ότι η PHP 8.2 φτάνει στο τέλος υποστήριξης στις 31 Δεκεμβρίου 2026, οπότε καλό είναι να προγραμματίσετε σύντομα τη μετάβαση στην 8.3 ή νεότερη.

Ένα τρίτο ζήτημα, δύο μέρες μετά

Στις 23 Οκτωβρίου η PHP δημοσίευσε μια σύντομη ανακοίνωση για ακόμη ένα κενό. Επηρεάζει μόνο site με ασυνήθιστες ρυθμίσεις και η PHP αναφέρει ότι κάτι τέτοιο είναι «απίθανο στην πράξη». Δεν διορθώνεται από τις εκδόσεις της 21ης Οκτωβρίου. Η σύσταση της PHP είναι να απενεργοποιηθεί η ρύθμιση session upload progress μέχρι την επόμενη τακτική ενημέρωση. Αυτό είναι κάτι που η εταιρεία hosting ή ο προγραμματιστής σας μπορεί να κάνει σε λίγα λεπτά, και ήταν ήδη ένα από τα προτεινόμενα προσωρινά μέτρα για τα δύο πρώτα σφάλματα.

Τι να κάνετε σήμερα

1. Ελέγξτε την έκδοση PHP. Στο WordPress, πηγαίνετε στα Εργαλεία (Tools), Υγεία ιστοτόπου (Site Health), καρτέλα Πληροφορίες (Info), ενότητα Διακομιστής (Server). Εκεί θα δείτε την έκδοση PHP. Φαίνεται επίσης στα περισσότερα πάνελ διαχείρισης hosting.
2. Ρωτήστε την εταιρεία hosting. Στείλτε ένα σύντομο μήνυμα: «Έχετε εφαρμόσει τις ενημερώσεις ασφαλείας της PHP της 21ης Οκτωβρίου στον server μου; Σε ποια έκδοση PHP βρίσκεται το site μου;» Οι σοβαρές εταιρείες hosting έβαλαν τις διορθώσεις την ίδια μέρα. Για παράδειγμα, η SiteGround αναφέρει ότι πρόσθεσε προστασία πριν καν βγει η ενημέρωση και στη συνέχεια εφάρμοσε τις διορθώσεις σε όλους τους server της.
3. Αναβαθμίστε αν είστε σε παλιά έκδοση. Αν το site σας τρέχει ακόμα σε PHP 7.4, 8.0 ή 8.1, αυτή είναι η αφορμή για να προχωρήσετε. Δοκιμάστε πρώτα σε ένα περιβάλλον staging αν μπορείτε, γιατί τα παλιά πρόσθετα καμιά φορά χαλάνε σε νεότερη PHP.
4. Πάρτε backup. Βεβαιωθείτε ότι έχετε πρόσφατο backup των αρχείων και της βάσης δεδομένων, αποθηκευμένο εκτός του server.
5. Έχετε το νου σας στο site. Προσέξτε για νέους διαχειριστές που δεν φτιάξατε εσείς, άγνωστα αρχεία, περίεργες ανακατευθύνσεις ή απότομη πτώση της κίνησης στο Search Console και στο GA4.

Τι σημαίνει για επιχειρήσεις σε Κύπρο και Ελλάδα

Πολλά site μικρών επιχειρήσεων εδώ είναι φτιαγμένα σε WordPress και φιλοξενούνται σε φθηνά πακέτα shared hosting που δεν έχει ελέγξει κανείς εδώ και χρόνια. Το βλέπω συχνά: το site δουλεύει, οπότε δεν το πειράζει κανείς, και μένει στην παλιά έκδοση PHP που είχε όταν πρωτοφτιάχτηκε.

Αν έχετε e-shop, το ρίσκο είναι μεγαλύτερο. Ένα παραβιασμένο e-shop μπορεί να διαρρεύσει στοιχεία πελατών, να εμφανίσει ψεύτικες σελίδες πληρωμής ή να επισημανθεί από την Google με προειδοποίηση που διώχνει τους επισκέπτες. Σύμφωνα με τον GDPR, μια παραβίαση που εκθέτει προσωπικά δεδομένα μπορεί επίσης να χρειάζεται επίσημη γνωστοποίηση.

Τα καλά νέα είναι ότι η λύση είναι συνήθως γρήγορη. Για τα περισσότερα site είναι μια απλή αλλαγή έκδοσης μέσα από το πάνελ του hosting ή ένα μήνυμα στον πάροχο. Το δύσκολο είναι να ξέρετε ότι πρέπει να το κάνετε. Τώρα το ξέρετε.

Συχνές ερωτήσεις

Θέλετε βοήθεια με αυτό; Κλείστε μια δωρεάν κλήση 30 λεπτών.

Πηγές

1. Security advisory: Critical remote code execution vulnerabilities, update now, PHP, Οκτώβριος 2026
2. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet, Wiz Research, Οκτώβριος 2026
3. Critical Vulnerabilities in PHP, CERT-EU, Οκτώβριος 2026
4. Joint statement on critical PHP vulnerabilities, ENISA, Οκτώβριος 2026
5. PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches, The Hacker News, Οκτώβριος 2026
6. SiteGround moves early to protect customers ahead of critical PHP security release, SiteGround, Οκτώβριος 2026