PHP2Shell: το κρίσιμο κενό ασφαλείας στην PHP που πρέπει να ελέγξεις σήμερα
23 Οκτωβρίου 2026 · 3 λεπτά ανάγνωσης
Ενημέρωση: 23 Οκτωβρίου 2026. Στις 21 Οκτωβρίου η PHP κυκλοφόρησε έκτακτη ενημέρωση ασφαλείας για δύο κρίσιμα κενά, γνωστά ως PHP2Shell (CVE-2026-109618 και CVE-2026-109619). Επιτρέπουν σε κάποιον να εκτελέσει κώδικα στον server χωρίς να χρειάζεται κωδικό ή λογαριασμό, και επιθέσεις έχουν ήδη καταγραφεί. Αν η ιστοσελίδα ή το e-shop σου τρέχει σε PHP, και σχεδόν κάθε WordPress και WooCommerce τρέχει, αυτό σε αφορά.
Τι συνέβη, με απλά λόγια
Η PHP είναι η γλώσσα πάνω στην οποία «τρέχει» το WordPress στον server. Τα δύο κενά βρίσκονται στην ίδια την PHP, όχι στο WordPress, σε κάποιο plugin ή στο θέμα σου. Γι' αυτό:
- δεν διορθώνονται με ενημέρωση του WordPress ή των plugins,
- η μόνη πραγματική λύση είναι η ενημέρωση της PHP στον server.
Τα κενά έχουν βαθμολογία 9.2 στα 10 (CVSS v4.0). Λεπτομέρειες διέρρευσαν πριν από την επίσημη ανακοίνωση, και ήδη από το πρωί της 21ης Οκτωβρίου καταγράφηκαν επιθέσεις.
Ποιες εκδόσεις είναι ασφαλείς
| Έκδοση PHP | Διορθωμένη από |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1, 8.0, 7.4 | Καμία επίσημη έκδοση: μόνο αν ο πάροχος έχει περάσει δική του διόρθωση |
| 7.3 και παλαιότερες | Καμία διόρθωση: απαιτείται αναβάθμιση |
Επηρεάζεται κάθε τρόπος λειτουργίας της PHP σε web server (PHP-FPM, Apache με mod_php, LiteSpeed, CGI). Τον μεγαλύτερο κίνδυνο έχουν servers με Apache και mod_php.
Τι να κάνεις σήμερα
- Δες ποια PHP τρέχει. Στο WordPress: Εργαλεία → Υγεία ιστότοπου → Πληροφορίες → Διακομιστής. Ή στο control panel του hosting (cPanel, Plesk κ.λπ.).
- Μην βασιστείς μόνο στον αριθμό. Πολλοί πάροχοι και διανομές Linux περνούν τη διόρθωση χωρίς να αλλάξει ο αριθμός της έκδοσης. Ρώτα τον πάροχό σου ευθέως: «Έχετε εφαρμόσει τη διόρθωση της PHP της 21ης Οκτωβρίου (CVE-2026-109618 / 109619);»
- Σε δικό σου VPS ή server: εγκατάστησε τα ενημερωμένα πακέτα PHP και κάνε επανεκκίνηση σε όλα τα PHP processes (π.χ. php-fpm), ώστε να τρέχει πραγματικά η νέα έκδοση.
- Αν είσαι σε PHP 8.1 ή παλαιότερη: προγραμμάτισε αναβάθμιση σε 8.2 ή νεότερη. Πάρε πρώτα πλήρες backup, δοκίμασε σε staging και έλεγξε φόρμες, καλάθι και πληρωμές μετά την αλλαγή.
- Αν χρησιμοποιείς Cloudflare: οι managed κανόνες του firewall βοηθούν, αλλά είναι ένα επιπλέον στρώμα προστασίας, όχι διόρθωση.
Πώς καταλαβαίνω αν το site μου έχει ήδη προσβληθεί;
Δεν υπάρχει ένα σίγουρο σημάδι, αλλά προσοχή σε: άγνωστους χρήστες διαχειριστή στο WordPress, άγνωστα αρχεία .php στον φάκελο uploads, ανακατευθύνσεις σε άσχετα sites, ξαφνική αύξηση φόρτου στον server ή μηνύματα «επικίνδυνος ιστότοπος» από το Google. Αν δεις κάτι από αυτά, η ενημέρωση της PHP δεν αρκεί: χρειάζεται καθαρισμός, αλλαγή κωδικών και έλεγχος των αρχείων.
Τα sites των πελατών μας
Ο πάροχος φιλοξενίας μας μάς ενημέρωσε ότι οι servers του έχουν ήδη προστατευτεί: εφάρμοσε πρόσθετους κανόνες ασφαλείας (ModSecurity/Imunify360) και τις προτεινόμενες προσωρινές ρυθμίσεις της PHP, και εγκατέστησε τις διορθωμένες εκδόσεις μόλις τις διέθεσαν οι κατασκευαστές (CloudLinux, cPanel, Plesk). Επειδή μέρος των διορθώσεων περνά ως security backports, ο αριθμός έκδοσης που βλέπεις στο WordPress μπορεί να διαφέρει από τον επίσημο του php.net, χωρίς να σημαίνει ότι λείπει η διόρθωση.
Αν δεν είσαι πελάτης μας και δεν ξέρεις τι τρέχει η ιστοσελίδα σου, στείλε μας τη διεύθυνση και θα σου πούμε τι χρειάζεται.