פגיעויות קריטיות ב-PHP אוכפות סגירת אתרים ממשלתיים לפני הוצאת תיקייה דחופה

צוות הפיתוח של PHP תיכנן שחרור אבטחה מחוץ למחזור בשעה 14:00 UTC ב-21 באוקטובר 2026, כדי לתקן שתי פגיעויות קריטיות לאחר שפרטים נדלפו באינטרנט יום קודם לכן, לפי The Hacker News וחברת הביטחון Sansec. הפגיעויות עקבו כ-CVE-2026-109618 ו-CVE-2026-109619 וחוקרים קראו להן באופן לא רשמי "PHP2Shell", שם שצוות ה-PHP עצמו לא אימץ, לדברי The Hacker News.

מהן הפגיעויות

לפי כתב העת הטכני של Sansec, CVE-2026-109618 היא באג use-after-free בטיפול ב-PHP בהתקדמות הטעינה שיכול לדלוף זיכרון שרת — כולל סיסמאות, אסימוני הפעלה ומפתחות פרטיים TLS — דרך עוגיית PHPSESSID, בדרך שהחברה השוותה לתקלת Heartbleed מ-2014. CVE-2026-109619 היא באג use-after-free נפרד שמתרחש כאשר שגיאה קטלנית מתרחשת בזמן מיצוי זיכרון, בשילוב עם בלבול סוג ב-OPcache של PHP, שעל פיו Sansec אמרה שהוא מאפשר ביצוע קוד מרחוק. שתי הבאגים מגיעות דרך בקשות multipart/form-data, הפורמט שעמודי אינטרנט משתמשים להעלאות קבצים.

מרכז הסייבר הלאומי של בריטניה (NCSC) תיאר את הסיכון בהתראה שלה מ-21 באוקטובר כמאפשר למתקיף "לבצע פקודות בכל שרת אינטרנט שמריץ PHP" ללא צורך להיכנס, וסיווג את הבעיה כקריטית.

מדוע ממשלות ופלטפורמות הלכו לא מקוונות

מכיוון ש-PHP מהווה חלק גדול של האינטרנט, מספר ארגונים בחרו לכבות אתרים המיועדים לציבור ולא להמתין לתיקייה. Techzine דיווחה ששירותים ממשלתיים הולנדיים כולל MijnOverheid, DigiD ומערכות פרלמנטריות הופסקו זמנית, וסיפור סוכנות חדשות שנחברה על ידי KSL אמר שסוכנויות סייבר בהולנד ובפינלנד הורידו אתרים ממשלתיים כאמצעי זהירות. Techzine דיווחה גם ש-NCSC בבריטניה ו-CISA של ארה"ב הוציאו התראות הקוראות למנהלים לתיקון או השבתת מערכות מושפעות, בעוד ש-Wikipedia ו-Meta המשיכו לפעול על ידי יישום PHP runtimes משונים וכללי חומת אש של יישומי אינטרנט במקום להשחיר.

Sansec דיווחה שמפתח PHP הליבה Gina Peter Banyard תיארה את כיבוי השרתים לפני הגעת התיקייה כאפשרות הגיונית ביותר לארגונים שלא יכלו ליישם תיקון מיד — עצה שמספר הוגים הולנדים ביצעו.

Cloudflare אמרה שהחלה לראות ניסיונות ניצול לפני שחרור התיקייה הרשמית. לפי דיווח KSL, מנהל הטכנולוגיה של Cloudflare אמר שהחברה צופה בהתקפות מוקדמות וכל הזמן מעדכנת את הקטנות שלה כשיטות התקפה חדשות מופיעות, מתאר את ההגנה של Cloudflare כדרך זמנית עד להגעת התיקייה הרשמית של PHP. Sansec דיווחה בנפרד ש-Cloudflare גילתה התקפות החל ב-07:43 UTC ב-21 באוקטובר, בערך שש שעות לפני התיקייה המתוזמנת של PHP.

• WordPress, Drupal, Joomla ו-Magento, מערכות ניהול תוכן ומסחר אלקטרוני שבנויות על PHP
• גרסאות ספציפיות בשם על ידי Sansec כמאושרות פגיעות: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 ו-Symfony 8.1
• פלטפורמות שיתוף מנוי ולוחות בקרה המקבצים PHP, לפי התראת NCSC
• שירותים ממשלתיים הולנדיים DigiD ו-MijnOverheid, לפי Techzine

היקף חשיפה: הערכות משתנות

מה ידוע ומה לא ידוע

צוות ה-PHP אישר שב-PHP 8.2, 8.3, 8.4 ו-8.5 יקבלו תיקונים רשמיים — צפויים כגרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35, לפי The Hacker News — בעוד שסניפים שהסתיימו בהם 8.1 ובן יותר לא יקבלו תיקונים מהספק. Sansec, עם זאת, אמרה שהקוד הפגום הבסיסי מתחזר ל-PHP 5.4.0, כלומר התקנות ישנות רבות ללא תמיכה נשארות פגיעות ללא תיקון רשמי זמין. לפי The Hacker News, אף ניצול הוכחת קונספט ציבורי לא היה זמין כאשר דיווחה ב-21 באוקטובר, והפגיעויות לא היו הוספו לקטלוג הפגיעויות הידועות בשימוש של CISA בעת זו — אם כי הצהרה מאוחרת של Cloudflare הצביעה על כך שניסיונות התקפה כבר היו בעיצומם.

רקע: כיצד נמצאו הפגיעויות

הציר הזמני של Sansec מתחזר לתקלה הראשונה למחקר שהחל ב-1 באוגוסט 2026, על ידי חוקר בשם הכנוי "Calif" העובד עם OpenAI, שדיווח על כך לצוות הביטחון של PHP ב-11 באוגוסט. דיווח שני קשור הגיע מצוות Wiz Research — שם על ידי Sansec כ-Sagi Tzadik, Shir Tamari, Nir Ohfeld ו-Tomer Schwartz — ב-24 באוגוסט. Sansec אמרה ששני צוותי המחקר זיכו מודלים של בינה מלאכותית בהאצת העבודה של מציאה והסתגלות ניצולים על פני גרסאות PHP, עם חוקר אחד אומר שהשיגו ניצול עובד בתוך בערך שבוע אחד. פרטים של הגילוי המתואם והמגובל כללי דלפו ב-20 באוקטובר, בו כפה PHP להביא קדימה את ההודעה שלה והגדרת שחרור התיקייה ב-21 באוקטובר.