Κρίσιμο κενό ασφαλείας στην PHP: τι λέει η Google για τα sites που κλείνουν προσωρινά

Την Τετάρτη 21 Οκτωβρίου η ομάδα της PHP κυκλοφόρησε έκτακτες ενημερώσεις ασφαλείας για δύο κρίσιμα κενά που, σύμφωνα με την ανακοίνωσή της, επιτρέπουν σε κάποιον να εκτελέσει κώδικα στον server χωρίς να συνδεθεί. Τα δύο κενά πήραν βαθμολογία 9,2 στα 10 στην κλίμακα σοβαρότητας CVSS. Η PHP είναι η γλώσσα πάνω στην οποία τρέχουν το WordPress, το WooCommerce, το Joomla και το Magento, άρα αφορά ένα πολύ μεγάλο μέρος των εταιρικών sites και των e-shop.

Η CERT-EU, η υπηρεσία κυβερνοασφάλειας των θεσμών της ΕΕ, συνέστησε σε όσους δεν μπορούν να αναβαθμίσουν αμέσως να εξετάσουν την προσωρινή απομόνωση ή το κλείσιμο των sites. Σύμφωνα με αναφορές, κυβερνητικοί και πανεπιστημιακοί ιστότοποι σε Ολλανδία και Φινλανδία κατέβηκαν προληπτικά πριν βγει η διόρθωση. Εδώ μπαίνει στην εικόνα η Google: λίγες ώρες μετά, ο John Mueller και ο επίσημος λογαριασμός του Google Search Central υπενθύμισαν πώς πρέπει να κλείνει ένα site ώστε να μη χαθούν οι σελίδες του από την αναζήτηση.

Τι αλλάζει

Η διόρθωση είναι η αναβάθμιση της PHP

Οι εκδόσεις που διορθώνουν τα κενά είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Η ομάδα της PHP γράφει ότι υπάρχουν μέτρα που μειώνουν τον κίνδυνο, αλλά κανένα δεν κάνει την εγκατάσταση ασφαλή: η μόνη πλήρης λύση είναι η ενημέρωση. Οι εκδόσεις 8.1 και παλαιότερες δεν υποστηρίζονται πια από το έργο, ενώ η 8.2 φτάνει στο τέλος της υποστήριξής της στις 31 Δεκεμβρίου 2026. Μια σημαντική λεπτομέρεια για όσους έχουν WordPress: η ενημέρωση του WordPress ή των plugins δεν αγγίζει την PHP. Τη διόρθωση την κάνει ο πάροχος φιλοξενίας ή όποιος διαχειρίζεται τον server.

Η υπενθύμιση της Google: 503, όχι 404

Ο Mueller έγραψε στο Bluesky ότι όποιος κατεβάζει ένα site για έκτακτη ενημέρωση πρέπει να επιστρέφει κωδικό HTTP 503 και όχι να αφήνει τις σελίδες να «κολλάνε» ή να βγάζουν 404 και 500. Πρόσθεσε ότι αυτό μπορεί να γίνει και έξω από την PHP, για παράδειγμα μέσω CDN ή του DNS. Το Google Search Central δημοσίευσε την ίδια συμβουλή στο LinkedIn.

Ο λόγος φαίνεται στην τεκμηρίωση της Google για τους κωδικούς HTTP. Με σφάλματα 5xx, όπως το 503, το Googlebot απλώς επιβραδύνει και οι σελίδες που είναι ήδη στο ευρετήριο κρατιούνται για ένα διάστημα. Με 404 αφαιρούνται. Και μια σελίδα «Υπό συντήρηση» που φορτώνει κανονικά, με κωδικό 200, μπορεί να χαρακτηριστεί soft 404 στο Search Console. Με άλλα λόγια, ο τρόπος που κλείνει ένα site για λίγες ώρες μπορεί να έχει συνέπειες για την ορατότητά του για εβδομάδες.

Τι δεν γνωρίζουμε ακόμα

Η τεκμηρίωση της Google δεν λέει πόσο καιρό αντέχει ένα site με 503 πριν αρχίσουν να πέφτουν σελίδες από το ευρετήριο. Γράφει μόνο ότι, αν τα σφάλματα συνεχιστούν, οι σελίδες τελικά αφαιρούνται. Δεν είναι επίσης γνωστό πόσο γρήγορα έχουν ενημερώσει τους servers τους οι πάροχοι φιλοξενίας στην Ελλάδα, ούτε αν υπάρχουν ήδη επιθέσεις σε ελληνικά sites. Σύμφωνα με το Search Engine Journal, εργαλείο επίθεσης κυκλοφορούσε πριν από τη διόρθωση, κάτι που δεν έχει επιβεβαιωθεί από την ομάδα της PHP.

Τι σημαίνει για ελληνικές επιχειρήσεις

Στην Ελλάδα πάρα πολλές μικρές επιχειρήσεις, από καταλύματα και εστιατόρια μέχρι δικηγορικά γραφεία και e-shop με WooCommerce, έχουν site σε WordPress, συχνά σε κοινόχρηστη φιλοξενία που την ενημερώνει ο πάροχος. Αυτό είναι καλό νέο, γιατί η διόρθωση γίνεται σε επίπεδο server. Δεν είναι όμως αυτόματο ότι έγινε. Τρεις ερωτήσεις αξίζει να στείλετε σήμερα σε όποιον φιλοξενεί ή συντηρεί το site σας: ποια έκδοση PHP τρέχει, αν έχει περάσει η διόρθωση της 21ης Οκτωβρίου, και αν χρειαστεί διακοπή, αν το site θα επιστρέφει 503.

Ιδιαίτερη προσοχή χρειάζονται τα παλιά sites που τρέχουν ακόμα σε PHP 7 ή 8.0, όπως μπορεί να συμβαίνει σε ιστοσελίδες που φτιάχτηκαν πριν από χρόνια και δεν τις πείραξε κανείς από τότε. Εκεί η αναβάθμιση μπορεί να «σπάσει» θέματα ή plugins, άρα ίσως χρειαστεί περισσότερη δουλειά από ένα απλό κλικ.

Για τις τουριστικές επιχειρήσεις, ο Οκτώβριος είναι ήσυχος μήνας για κρατήσεις, αλλά η Google και οι AI απαντήσεις της χρειάζονται τις σελίδες σας στο ευρετήριο για να σας προτείνουν όταν ο ταξιδιώτης αρχίσει να ψάχνει για το 2027. Ένα site που κλείνει σωστά για λίγες ώρες δεν έχει πρόβλημα. Ένα site που βγάζει 404 για μέρες ή που παραβιάζεται και γεμίζει κακόβουλες σελίδες, έχει. Αν θέλετε να δείτε μετά τη διόρθωση αν κάτι έχει επηρεαστεί στην ευρετηρίαση, αυτό είναι κομμάτι της δουλειάς που κάνουμε στο SEO, και για καταλύματα στο SEO για τουρισμό.

Συχνές ερωτήσεις

Αρκεί να ενημερώσω το WordPress και τα plugins μου;

Όχι. Τα κενά είναι στην ίδια την PHP, που τρέχει στον server. Τη διόρθωση την κάνει ο πάροχος φιλοξενίας ή όποιος διαχειρίζεται τον server, με αναβάθμιση στις εκδόσεις 8.5.12, 8.4.27, 8.3.36 ή 8.2.35.

Γιατί η Google ζητά κωδικό 503 όταν το site είναι κλειστό;

Με 503 το Googlebot επιβραδύνει και κρατά για ένα διάστημα τις σελίδες στο ευρετήριο. Με 404 οι σελίδες αφαιρούνται, και μια σελίδα συντήρησης με κωδικό 200 μπορεί να χαρακτηριστεί soft 404.

Πόσο καιρό μπορεί να μείνει ένα site με 503;

Η τεκμηρίωση της Google δεν δίνει συγκεκριμένο όριο. Λέει μόνο ότι, αν τα σφάλματα συνεχιστούν, οι σελίδες τελικά αφαιρούνται από το ευρετήριο.