Στις 21 Οκτωβρίου 2026 η PHP, η γλώσσα πάνω στην οποία τρέχουν το WordPress, το WooCommerce, το Joomla, το Drupal, το PrestaShop και το OpenCart, κυκλοφόρησε επείγουσες διορθώσεις για δύο κρίσιμα κενά ασφαλείας, γνωστά ως PHP2Shell (CVE-2026-109618 και CVE-2026-109619). Επιτρέπουν σε κάποιον να εκτελέσει δικό του κώδικα στον server ενός site χωρίς κωδικό πρόσβασης, και είχαν αρχίσει να χρησιμοποιούνται σε επιθέσεις πριν καν βγουν οι διορθώσεις. Αν το site σας τρέχει σε PHP, το πιθανότερο είναι ότι σας αφορά, και η λύση αυτή τη φορά δεν βρίσκεται σε κάποιο plugin αλλά στον server.
Τι είναι το PHP2Shell, με απλά λόγια;
Η PHP είναι το «μηχάνημα» που εκτελεί τον κώδικα του WordPress κάθε φορά που κάποιος ανοίγει μια σελίδα. Τα δύο κενά βρίσκονται μέσα σε αυτό το μηχάνημα, στον τρόπο που η PHP καθαρίζει τη μνήμη μετά από κάθε αίτημα. Ένα ειδικά φτιαγμένο αίτημα μπορεί να αφήσει πίσω του «υπολείμματα» στη μνήμη, και ένα επόμενο αίτημα να τα εκμεταλλευτεί για να τρέξει δικό του κώδικα στον server, με τα δικαιώματα του ίδιου του site.
Η ομάδα της PHP τα χαρακτηρίζει κρίσιμα, με βαθμό 9,2 στα 10 στην κλίμακα CVSS 4.0. Αφορούν όλους τους συνηθισμένους τρόπους με τους οποίους η PHP εξυπηρετεί ιστοσελίδες (Apache με mod_php, PHP-FPM, LiteSpeed και άλλους) και, σύμφωνα με τις αναφορές, εκδόσεις από την 5.4 μέχρι την 8.5. Στο mod_php η επίθεση μπορεί να πετύχει πριν καν φορτώσει ο κώδικας του site.
Γιατί κινδυνεύει και ένα ενημερωμένο WordPress;
Συνήθως, όταν ακούμε για κενό ασφαλείας στο WordPress, φταίει ένα plugin ή ένα θέμα, και η λύση είναι μια ενημέρωση από τον πίνακα ελέγχου. Αυτή τη φορά το πρόβλημα βρίσκεται ένα επίπεδο πιο κάτω. Η εταιρεία ασφαλείας Wiz έδειξε ότι η επίθεση δουλεύει σε WordPress, Drupal και Joomla χωρίς κανέναν κωδικό, και ότι σε κάποιες περιπτώσεις ο server μπορεί να «διαρρεύσει» κομμάτια μνήμης με κωδικούς, tokens και κλειδιά API.
Με άλλα λόγια: ακόμα κι αν έχετε ενημερώσει κάθε plugin, το site σας μένει εκτεθειμένο όσο ο server τρέχει έκδοση PHP χωρίς τη διόρθωση. Και η PHP δεν είναι μια σπάνια τεχνολογία: τρέχει σε περίπου 7 στα 10 sites των οποίων η τεχνολογία είναι γνωστή, ανάμεσά τους τα περισσότερα ελληνικά εταιρικά sites και e-shops.
Τι συνέβη και πότε;
- Αύγουστος 2026: ερευνητές των εταιρειών Calif και Wiz εντοπίζουν τα κενά, ο καθένας χωριστά, και τα αναφέρουν στην ομάδα της PHP.
- 17 Οκτωβρίου: η Amazon καταγράφει την πρώτη απόπειρα επίθεσης, πριν από οποιαδήποτε δημόσια ανακοίνωση.
- 20 Οκτωβρίου: πληροφορίες για τα κενά διαρρέουν στο διαδίκτυο πριν από την προγραμματισμένη δημοσιοποίηση.
- 21 Οκτωβρίου: η PHP κυκλοφορεί τις διορθωμένες εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Την ίδια μέρα πάροχοι φιλοξενίας και εταιρείες ασφαλείας αναφέρουν ενεργές επιθέσεις.
- 23 Οκτωβρίου: η PHP ενημερώνει για ένα τρίτο, πιο σπάνιο πρόβλημα στην ίδια λειτουργία (CVE-2026-115560), που θα διορθωθεί στην επόμενη τακτική έκδοση.
Το site μου κινδυνεύει;
Πιθανότατα ναι, αν ισχύουν και τα δύο: το site τρέχει σε PHP (WordPress, WooCommerce, Joomla, Drupal, PrestaShop, OpenCart) και ο server του δεν έχει ενημερωθεί μετά τις 21 Οκτωβρίου. Ένα δωρεάν εργαλείο ελέγχου μέτρησε από τις 21 έως τις 25 Οκτωβρίου ότι, από περίπου 3.500 sites που δείχνουν δημόσια την έκδοση PHP τους, το 59% έτρεχε ακόμα έκδοση πριν από τη διόρθωση. Τα sites τα επέλεξαν οι ίδιοι οι χρήστες του εργαλείου, οπότε ο αριθμός δεν περιγράφει όλο το διαδίκτυο. Δείχνει όμως ότι πολλοί servers άργησαν να ενημερωθούν.
Ιδιαίτερα εκτεθειμένα είναι τα sites σε PHP 8.1 ή παλαιότερη. Αυτές οι εκδόσεις δεν υποστηρίζονται πια: δεν υπάρχει επίσημη διορθωμένη έκδοση, μόνο διορθώσεις σε επίπεδο κώδικα που πρέπει να εφαρμόσει ο πάροχος. Κάποιοι πάροχοι λογισμικού φιλοξενίας, όπως το cPanel και το CloudLinux, έβγαλαν δικές τους διορθώσεις, δεν τις εφαρμόζουν όμως όλοι οι πάροχοι αυτόματα.
Πώς βλέπετε ποια έκδοση PHP τρέχει το site σας;
- Από το WordPress: στο μενού Εργαλεία, ανοίξτε το Site Health (Υγεία ιστοτόπου), την καρτέλα με τις πληροφορίες και την ενότητα του διακομιστή. Εκεί γράφει την έκδοση της PHP.
- Από τον πίνακα της φιλοξενίας: στο cPanel ή στο Plesk υπάρχει συνήθως επιλογή όπως «Select PHP Version» ή «PHP Settings».
- Από τον πάροχο, γραπτώς: ρωτήστε «Ποια έκδοση PHP τρέχει το site μου και περιλαμβάνει τη διόρθωση για τα CVE-2026-109618 και CVE-2026-109619;». Οι πάροχοι συχνά διορθώνουν χωρίς να αλλάξει ο αριθμός της έκδοσης, γι’ αυτό μετράει η γραπτή απάντηση.
Ασφαλείς είναι οι εκδόσεις 8.5.12, 8.4.27, 8.3.36, 8.2.35 και νεότερες. Αν βλέπετε 8.1 ή παλαιότερη, θεωρήστε το site εκτεθειμένο, εκτός αν ο πάροχος επιβεβαιώσει γραπτώς ότι εφάρμοσε τη διόρθωση.
Τι να κάνετε σήμερα;
- Ζητήστε ενημέρωση της PHP. Τη διόρθωση την κάνει ο server, όχι το WordPress. Σε κοινόχρηστη φιλοξενία την κάνει ο πάροχος· σε δικό σας VPS, εσείς ή όποιος τον διαχειρίζεται.
- Πάρτε backup πριν από οποιαδήποτε αλλαγή, και κρατήστε ένα αντίγραφο εκτός του server.
- Αν είστε σε PHP 8.1 ή παλαιότερη, ανεβείτε σε υποστηριζόμενη έκδοση. Παλιά plugins και θέματα μπορεί να μη λειτουργούν σε νεότερη PHP, γι’ αυτό δοκιμάστε πρώτα σε αντίγραφο του site.
- Μέχρι να γίνει η ενημέρωση, ζητήστε από τον πάροχο να απενεργοποιήσει τη λειτουργία παρακολούθησης των uploads της PHP (ρύθμιση
session.upload_progress.enabled=0) και να επανεκκινήσει την PHP. Κλείνει τον γνωστό δρόμο της επίθεσης, όχι όλους, και δεν αντικαθιστά την ενημέρωση. - Ενημερώστε και το WordPress. Τον Ιούλιο διορθώθηκε ένα άλλο, ανεξάρτητο κενό στον ίδιο τον πυρήνα του WordPress, γνωστό ως wp2shell (CVE-2026-63030), που επίσης χρησιμοποιήθηκε σε επιθέσεις. Ασφαλείς είναι οι εκδόσεις 6.8.6, 6.9.5, 7.0.2 και νεότερες.
- Αλλάξτε κωδικούς και κλειδιά, αν ο server σας έμεινε χωρίς τη διόρθωση μετά τις 20 Οκτωβρίου: κωδικούς διαχειριστών, τον κωδικό της βάσης δεδομένων, κλειδιά API (πληρωμών, email, άλλων υπηρεσιών) και τα κλειδιά ασφαλείας (salts) του WordPress.
Πώς καταλαβαίνετε αν το site έχει ήδη παραβιαστεί;
- Νέοι λογαριασμοί διαχειριστή που δεν δημιουργήσατε εσείς.
- Άγνωστα αρχεία .php στον φάκελο του site, συχνά με τυχαία ονόματα.
- Ανακατευθύνσεις σε άλλα sites, ιδίως όταν ο επισκέπτης έρχεται από κινητό ή από τη Google.
- Σελίδες με διαφημίσεις ή άσχετο περιεχόμενο που εμφανίζονται στη Google με το όνομά σας.
- Προειδοποιήσεις από τη Google ή από τον browser ότι το site δεν είναι ασφαλές.
- Ξαφνική αύξηση στη χρήση του server ή email που στέλνονται χωρίς να τα έχετε στείλει εσείς.
Αν δείτε κάτι από αυτά, μην το «καθαρίσετε» απλώς σβήνοντας αρχεία. Ζητήστε από τον πάροχο να κρατήσει τα αρχεία καταγραφής (logs) και να ελέγξει τον server, και αλλάξτε όλους τους κωδικούς.
Αρκεί ένα plugin ασφαλείας;
Όχι. Τα plugins ασφαλείας τρέχουν μέσα στο WordPress, ενώ αυτή η επίθεση μπορεί να γίνει πριν φορτώσει καν το WordPress. Ένα firewall σε επίπεδο δικτύου, όπως αυτό της Cloudflare, που πρόσθεσε κανόνες για τις γνωστές μορφές της επίθεσης, βοηθά προσωρινά. Η πραγματική λύση όμως είναι η ενημέρωση της PHP.
Γιατί τα στατικά sites δεν επηρεάζονται από τέτοια κενά;
Ένα στατικό site δεν εκτελεί PHP όταν το ανοίγει ένας επισκέπτης: οι σελίδες είναι ήδη έτοιμα αρχεία, που ο server απλώς στέλνει. Δεν υπάρχει βάση δεδομένων πίσω από κάθε σελίδα ούτε plugins που περιμένουν ενημέρωση. Έτσι, μια ολόκληρη κατηγορία κενών, όπως το PHP2Shell, δεν βρίσκει από πού να περάσει.
Έτσι φτιάχνουμε τα sites μας στην PixFrix: στατικά, σε Next.js, με τα άρθρα, τα μηνύματα και τις κρατήσεις στο δικό σας dashboard. Αυτό δεν σημαίνει ότι το WordPress είναι κακή επιλογή. Σημαίνει ότι χρειάζεται κάποιον να προσέχει τον server του, κάθε μήνα και όχι μόνο όταν γίνεται είδηση. Αν ζυγίζετε τη διαφορά, δείτε τον οδηγό μας WordPress ή custom ιστοσελίδα, και για το κόστος του server, τον οδηγό για τη φιλοξενία ιστοσελίδας.
Συμπέρασμα: τι κάνετε σήμερα
Το PHP2Shell δεν διορθώνεται με ένα κλικ από τον πίνακα του WordPress: το διορθώνει όποιος διαχειρίζεται τον server. Δείτε σήμερα ποια έκδοση PHP τρέχει το site σας, ζητήστε γραπτώς από τον πάροχο να επιβεβαιώσει τη διόρθωση, και αν το site σας είναι σε παλιά PHP, προγραμματίστε την αναβάθμιση. Αν δεν ξέρετε από πού να ξεκινήσετε, στείλτε μας τη διεύθυνση του site σας και θα σας πούμε τι τρέχει και τι χρειάζεται, χωρίς υποχρέωση.
Πηγές: οι ανακοινώσεις και αναλύσεις των Sophos, Huntress και Recorded Future, η μέτρηση της Brandefense και, για το wp2shell, το The Hacker News.
Συχνές ερωτήσεις
Τι είναι το PHP2Shell;
Δύο κρίσιμα κενά ασφαλείας στην ίδια την PHP (CVE-2026-109618 και CVE-2026-109619), που διορθώθηκαν στις 21 Οκτωβρίου 2026. Επιτρέπουν σε κάποιον να εκτελέσει κώδικα στον server ενός site χωρίς κωδικό, και αφορούν κάθε σύστημα γραμμένο σε PHP, όπως το WordPress.
Αρκεί να ενημερώσω το WordPress;
Όχι. Το PHP2Shell βρίσκεται στην PHP, άρα διορθώνεται με ενημέρωση της PHP στον server. Το WordPress χρειάζεται κι αυτό ενημέρωση, για άλλους λόγους, όπως το κενό wp2shell του Ιουλίου.
Ποιες εκδόσεις PHP είναι ασφαλείς;
Οι 8.5.12, 8.4.27, 8.3.36, 8.2.35 και νεότερες. Οι 8.1 και παλαιότερες δεν υποστηρίζονται πια, και θεωρούνται εκτεθειμένες εκτός αν ο πάροχος έχει εφαρμόσει δική του διόρθωση και το επιβεβαιώνει.
Το site μου είναι σε Wix ή Shopify. Με αφορά;
Σε πλατφόρμες όπως το Wix και το Shopify, τον server τον διαχειρίζεται η ίδια η πλατφόρμα, οπότε δεν έχετε κάτι να ενημερώσετε εσείς.
Πρέπει να κλείσω το site μέχρι να ενημερωθεί;
Αν ο πάροχος δεν μπορεί να ενημερώσει την PHP άμεσα, κάποιες υπηρεσίες ασφαλείας προτείνουν να βγει το site προσωρινά εκτός σύνδεσης ή πίσω από firewall. Για τα περισσότερα sites, η απλούστερη λύση είναι να ζητήσετε την ενημέρωση σήμερα και να εφαρμοστεί η προσωρινή ρύθμιση μέχρι τότε.
