Ημερομηνία είδησης: 2026-10-21 · Τελευταίος έλεγχος πηγών: 2026-10-23

Στις 21 Οκτωβρίου 2026 η ομάδα της PHP διέθεσε έκτακτες ενημερώσεις για δύο κρίσιμες ευπάθειες, γνωστές συνολικά ως PHP2Shell. Οι CVE-2026-109618 και CVE-2026-109619 μπορούν, υπό κατάλληλες συνθήκες, να οδηγήσουν σε απομακρυσμένη εκτέλεση κώδικα χωρίς προηγούμενη σύνδεση χρήστη. Δεν πρόκειται για κενό ασφαλείας συγκεκριμένου WordPress plugin: αφορά την ίδια τη μηχανή PHP που εξυπηρετεί web requests.

Ποιες είναι οι ευπάθειες;

Η πρώτη σχετίζεται με χειρισμό συνθηκών εξάντλησης μνήμης (out-of-memory), ενώ η δεύτερη με εσωτερική κατάσταση που μπορεί να παραμείνει προσβάσιμη μετά την αποδέσμευση της μνήμης. Και οι δύο συνδέονται με αλλοίωση της μνήμης και ενδεχόμενη εκτέλεση κώδικα με τα δικαιώματα της διεργασίας PHP. Οι επίσημες ανακοινώσεις επισημαίνουν ότι επηρεάζονται διαφορετικοί τρόποι λειτουργίας PHP, όπως PHP-FPM και Apache mod_php.

Η σοβαρότητα δεν εξαρτάται από το αν το WordPress ή τα plugins είναι ενημερωμένα
Ένας έλεγχος μόνο της έκδοσης WordPress δεν αρκεί

Ποιες εκδόσεις περιλαμβάνουν τις διορθώσεις;

Οι εκδόσεις που ανακοίνωσε το PHP project στις 21 Οκτωβρίου είναι 8.5.12, 8.4.27, 8.3.36 και 8.2.35 ή νεότερες μέσα στον αντίστοιχο υποστηριζόμενο κλάδο. Παλαιότεροι κλάδοι που έχουν λήξει χρειάζονται σχέδιο μετάβασης. Αν χρησιμοποιείτε πακέτα διανομής Linux ή hosting vendor, ελέγξτε και τα αντίστοιχα security advisories: μία διανομή μπορεί να ενσωματώσει τη διόρθωση ως backport χωρίς να αλλάξει ο upstream αριθμός έκδοσης.

Ελέγξτε την έκδοση του PHP runtime που εξυπηρετεί το website, όχι μόνο το PHP CLI
Καταγράψτε τα internet-facing συστήματα ως πρώτη προτεραιότητα

Τι πρέπει να κάνει άμεσα η επιχείρηση;

Η σωστή σειρά είναι απογραφή εφαρμογών και servers, έλεγχος έκθεσης, backup, εφαρμογή διαθέσιμων ενημερώσεων, επαλήθευση λειτουργίας και ανασκόπηση logs. Αν δεν είναι δυνατή άμεσα η διόρθωση, χρειάζεται αξιολόγηση περιορισμού της έκθεσης ή προσωρινής απομόνωσης της υπηρεσίας. Ένα firewall ή WAF μπορεί να προσφέρει συμπληρωματική προστασία, αλλά δεν υποκαθιστά την επιδιόρθωση του PHP runtime.

Επιβεβαιώστε τη δυνατότητα restore πριν από αλλαγές
Ελέγξτε logs web server και application για ύποπτη δραστηριότητα
Δοκιμάστε business-critical φόρμες και integrations μετά την ενημέρωση

Τι σημαίνει για ένα WordPress site;

Το WordPress χρησιμοποιεί PHP, επομένως το patch πρέπει να εφαρμοστεί στο hosting ή στον server. Η επίσημη ομάδα WordPress διευκρίνισε ότι δεν απαιτείται ούτε προγραμματίζεται ξεχωριστή ενημέρωση του WordPress core αποκλειστικά για αυτά τα PHP ζητήματα. Σε managed hosting ζητήστε γραπτή επιβεβαίωση ότι η έκδοση ή η vendor-patched έκδοση της PHP έχει διορθωθεί. Σε self-hosted περιβάλλον ο υπεύθυνος διαχείρισης πρέπει να το επαληθεύσει.

Αποφύγετε τυφλή αναβάθμιση κύριας έκδοσης σε παραγωγή χωρίς compatibility test
Διατηρήστε monitoring για επόμενες ενημερώσεις και νέες ενδείξεις απειλής

Η VALUE360 μπορεί να οργανώσει έλεγχο έκθεσης, ασφαλές maintenance window και τεκμηριωμένο patching για PHP-based εφαρμογές.

Δείτε τη σχετική υπηρεσία της VALUE360 →

Τεχνικές πηγές

Προτεραιοποίηση αποκατάστασης

Η προτεραιότητα δεν εξαρτάται μόνο από τη σοβαρότητα της είδησης. Καταγράψτε αν χρησιμοποιείτε το επηρεαζόμενο προϊόν, αν είναι προσβάσιμο από το Internet, ποια δικαιώματα διαθέτει και αν υπάρχουν ενδείξεις κακόβουλης δραστηριότητας. Επιβεβαιώστε τις ακριβείς επηρεαζόμενες εκδόσεις και τα διαθέσιμα διορθωτικά μέτρα από την επίσημη ανακοίνωση του κατασκευαστή.

Συχνές ερωτήσεις για την εφαρμογή

Αφορά απαραίτητα τη δική μας υποδομή;

Όχι. Πρώτα πρέπει να επιβεβαιωθεί αν το συγκεκριμένο προϊόν, η έκδοση και η σχετική ρύθμιση υπάρχουν στο περιβάλλον σας.

Αρκεί ένα εργαλείο προστασίας;

Όχι από μόνο του. Χρειάζεται συνδυασμός ενημερώσεων, περιορισμού πρόσβασης, καταγραφής συμβάντων και ελεγμένων αντιγράφων ασφαλείας.

PHP2Shell: κρίσιμες ευπάθειες PHP — τι πρέπει να κάνουν οι επιχειρήσεις