Το PHP2Shell εξελίσσεται μέσα σε λίγες ώρες σε ένα από τα σοβαρότερα περιστατικά κυβερνοασφάλειας της χρονιάς, με την Cloudflare να καταγράφει εκρηκτική αύξηση στις απόπειρες εκμετάλλευσης δύο κρίσιμων ευπαθειών της PHP. Σύμφωνα με τον CEO της εταιρείας, Matthew Prince, οι επιθέσεις πέρασαν από μερικές χιλιάδες πριν από τη δημόσια αποκάλυψη σε εκατομμύρια μέσα στην ίδια ημέρα.
Το περιστατικό αφορά τις ευπάθειες CVE-2026-109618 και CVE-2026-109619, οι οποίες έχουν βαθμολογία CVSS 9,2 και μπορούν, υπό συγκεκριμένες συνθήκες, να επιτρέψουν σε μη πιστοποιημένο επιτιθέμενο να εκτελέσει απομακρυσμένα κώδικα σε ευάλωτο server. Το κρίσιμο στοιχείο είναι ότι το πρόβλημα δεν βρίσκεται σε κάποιο συγκεκριμένο CMS ή plugin, αλλά στον ίδιο τον PHP runtime.
Από χιλιάδες σε εκατομμύρια απόπειρες
Η κλίμακα με την οποία άρχισε η εκμετάλλευση του PHP2Shell είναι ενδεικτική του πόσο γρήγορα λειτουργεί πλέον το οικοσύστημα των αυτοματοποιημένων επιθέσεων.
Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.
— Matthew Prince 🌥 (@eastdakota) October 22, 2026
Η Cloudflare κατέγραψε χιλιάδες απόπειρες exploitation κατά τις περίπου δέκα ώρες πριν από τη δημόσια ανακοίνωση. Μέσα στα πρώτα 45 λεπτά μετά τη γνωστοποίηση, ο αριθμός είχε ήδη ανέβει σε δεκάδες χιλιάδες. Στις δύο ώρες είχε φτάσει σε εκατοντάδες χιλιάδες και αργότερα σε εκατομμύρια.
Οι αριθμοί αυτοί αφορούν απόπειρες εκμετάλλευσης και δεν σημαίνουν ότι εκατομμύρια servers παραβιάστηκαν επιτυχώς. Δείχνουν όμως πόσο γρήγορα οι επιτιθέμενοι άρχισαν να σαρώνουν το Internet για ευάλωτα συστήματα.
Τι ακριβώς είναι το PHP2Shell
Οι δύο ευπάθειες σχετίζονται με προβλήματα διαχείρισης μνήμης όταν μια PHP διεργασία τερματίζεται υπό συγκεκριμένες συνθήκες.
Η CVE-2026-109618 συνδέεται με corruption κατά τη διαχείριση out-of-memory καταστάσεων, ενώ η CVE-2026-109619 αφορά stale global state και use-after-free συμπεριφορά. Σε επιτυχημένη εκμετάλλευση, ένας επιτιθέμενος μπορεί να αποκτήσει δυνατότητα remote code execution με τα δικαιώματα του PHP worker.
Αυτό μετατρέπει το PHP2Shell από ένα απλό bug σε πιθανό σημείο εισόδου για πλήρη παραβίαση ενός web server, πρόσβαση σε δεδομένα, εγκατάσταση κακόβουλου λογισμικού ή περαιτέρω κίνηση μέσα σε ένα εταιρικό δίκτυο.
Η PHP έχει επιβεβαιώσει ότι κινδυνεύουν εγκαταστάσεις που εξυπηρετούν web requests μέσω PHP-FPM, Apache με mod_php, php-cgi, FrankenPHP και LiteSpeed. Ιδιαίτερα υψηλός θεωρείται ο κίνδυνος για mod_php.
Η Cloudflare είχε ενεργοποιήσει προστασίες πριν από τη δημοσιοποίηση
Η Cloudflare είχε ξεκινήσει την ανάπτυξη ειδικών WAF protections στις αρχές Οκτωβρίου και τις ενεργοποίησε για τους πελάτες της στις 21 Οκτωβρίου, περίπου εννέα ώρες πριν από τη δημόσια αποκάλυψη.
Η εταιρεία χρησιμοποίησε μάλιστα για πρώτη φορά σε managed detections μια νέα τεχνική που αποκαλεί full transaction detection. Αντί να εξετάζει μόνο το εισερχόμενο HTTP request, συνδυάζει στοιχεία τόσο από το request όσο και από την απάντηση του origin server, ώστε να περιορίζει τα false positives και να εντοπίζει με μεγαλύτερη βεβαιότητα πιθανή εκμετάλλευση.
Η Cloudflare αναφέρει επίσης ότι παρατήρησε τους επιτιθέμενους να τροποποιούν συνεχώς τα payloads τους σε προσπάθεια παράκαμψης των μέτρων προστασίας.
Το WAF δεν αντικαθιστά το patch
Παρά τις προστασίες που έχουν ενεργοποιήσει εταιρείες όπως η Cloudflare, το βασικό μήνυμα προς τους διαχειριστές συστημάτων είναι ξεκάθαρο: η ενημέρωση της PHP είναι απαραίτητη.
Οι διορθωμένες εκδόσεις είναι οι PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Η ίδια η PHP τονίζει ότι δεν υπάρχει πλήρης εναλλακτική αντιμετώπιση που να μπορεί να αντικαταστήσει το update.
Οι εκδόσεις PHP 8.1 και παλαιότερες έχουν ήδη φτάσει στο τέλος της επίσημης υποστήριξής τους και δεν λαμβάνουν κανονικά updates από το PHP project, αν και ορισμένες Linux distributions και εμπορικοί vendors ενδέχεται να παρέχουν backported patches.
Γιατί το PHP2Shell έχει τόσο μεγάλη σημασία
Η PHP παραμένει θεμελιώδες κομμάτι της υποδομής του Web και χρησιμοποιείται από πλατφόρμες όπως WordPress, Drupal, Joomla και Magento. Αυτό δεν σημαίνει ότι κάθε website που βασίζεται σε αυτές είναι αυτομάτως παραβιασμένο, αλλά δημιουργεί τεράστια δυνητική επιφάνεια επίθεσης.
Το PHP2Shell δείχνει παράλληλα πόσο μικρό έχει γίνει πλέον το χρονικό περιθώριο ανάμεσα στη δημοσιοποίηση μιας κρίσιμης ευπάθειας και στη μαζική προσπάθεια εκμετάλλευσής της.
Το γεγονός ότι η Cloudflare πέρασε από χιλιάδες σε εκατομμύρια απόπειρες μέσα σε λίγες ώρες είναι ίσως το πιο σημαντικό στοιχείο της υπόθεσης. Για τους administrators, το περιθώριο αντίδρασης δεν μετριέται πλέον σε ημέρες. Μετριέται σε ώρες.
