PHP2Shell – Πώς κινηθήκαμε για την ασφάλεια των ιστοσελίδων μας

nevma

Creative Know-How

Στις 21/10/2026 η ομάδα ανάπτυξης της PHP δημοσίευσε επείγουσες διορθώσεις για δύο κρίσιμα κενά ασφαλείας, γνωστά με την κοινή ονομασία PHP2Shell, η ομάδα της Nevma κινήθηκε άμεσα

Τι είναι το PHP2Shell

Στις 21 Οκτωβρίου 2026 η ομάδα ανάπτυξης της PHP δημοσίευσε επείγουσες διορθώσεις για δύο κρίσιμα κενά ασφαλείας, γνωστά με την κοινή ονομασία PHP2Shell (CVE-2026-109618 και CVE-2026-109619). Η PHP είναι η τεχνολογία πάνω στην οποία λειτουργεί περίπου το 70% των ιστοσελίδων παγκοσμίως, ανάμεσά τους και κάθε ιστοσελίδα WordPress και κάθε eshop WooCommerce.

Σε απλά λόγια, τα κενά αυτά θα μπορούσαν να επιτρέψουν σε έναν επιτιθέμενο να εκτελέσει δικό του κώδικα σε έναν server, χωρίς να χρειάζεται κωδικούς πρόσβασης. Το πρόβλημα δεν βρισκόταν σε κάποιο πρόσθετο ή θέμα, αλλά στον ίδιο τον πυρήνα της PHP, γι’ αυτό και αφορούσε σχεδόν το σύνολο του διαδικτύου. Η κρισιμότητά του βαθμολογήθηκε με 9.2 στα 10. Δηλαδή εξαιρετικά υψηλή!

Η κοινότητα του ανοιχτού λογισμικού κινήθηκε άμεσα

Τα κενά εντοπίστηκαν από ερευνητές ασφαλείας των Calif, Wiz και OpenAI. Για εβδομάδες πριν από τη δημοσιοποίηση, εταιρείες τεχνολογίας και ερευνητές συνεργάστηκαν αθόρυβα με την ομάδα της PHP, ώστε η διόρθωση να είναι έτοιμη πριν γίνει γνωστό το πρόβλημα.

Όταν οι λεπτομέρειες διέρρευσαν νωρίτερα από αυτό που είχε προγραμματιστεί, οι διορθώσεις κυκλοφόρησαν αμέσως για όλες τις υποστηριζόμενες εκδόσεις της PHP (8.2 έως 8.5). Η ομάδα της PHP διέθεσε επιπλέον βασικές διορθώσεις και για παλαιότερες εκδόσεις (7.4 έως 8.1), οι οποίες κανονικά δεν λαμβάνουν πλέον ενημερώσεις. Παράλληλα, πάροχοι υποδομών φιλοξενίας ενεργοποίησαν μέτρα προστασίας για τις ιστοσελίδες των πελατών τους πριν ακόμη ανακοινωθεί το πρόβλημα.

Είναι ένα καλό παράδειγμα του πώς λειτουργεί το ανοιχτό λογισμικό στην πράξη. Ο κώδικας είναι διαθέσιμος σε όλους, τα προβλήματα εντοπίζονται από πολλούς και οι λύσεις φτάνουν γρήγορα σε όλους.

Τι κάναμε στη Nevma

Η διόρθωση κυκλοφόρησε στις 21/10/2026 στις 17:00 (ώρα Ελλάδας) και την είχαμε εφαρμόσει σε όλους τους servers μας στις 01:00 της επόμενης ημέρας, μέσα σε οκτώ ώρες.

Ενημερώσαμε την PHP σε όλους τους servers που φιλοξενούν τις ιστοσελίδες και τα eshops των πελατών μας.
Ενεργοποιήσαμε πρόσθετα, προσωρινά μέτρα προστασίας, που αποκλείουν ύποπτα αιτήματα πριν φτάσουν στις ιστοσελίδες.
Ελέγχουμε και ενημερώνουμε μία προς μία κάθε ιστοσελίδα, ώστε να λειτουργεί σωστά με τις νέες εκδόσεις.
Ενημερώνουμε τους πελάτες μας για το τι συνέβη και πώς κινηθήκαμε.

Τα προσωρινά μέτρα θα αρθούν μόλις ολοκληρωθούν οι ενημερώσεις σε όλες τις ιστοσελίδες.

Μέχρι στιγμής δεν έχουμε καμία ένδειξη προβλήματος ή παραβίασης σε ιστοσελίδα που φιλοξενούμε. Κινηθήκαμε προληπτικά, πριν το κενό αξιοποιηθεί ευρέως.

Η ασφάλεια μιας ιστοσελίδας δεν είναι μία κίνηση, αλλά συνεχής και διαχρονική φροντίδα.

Πηγές

Featured image credit: “Security – Dictionary” by aag_photos is licensed under CC BY-SA 2.0. To view a copy of this license, visit https://creativecommons.org/licenses/by-sa/2.0/?ref=openverse.