טכנולוגיה · ידיעה
שתי חולשות קריטיות ב-PHP בשם "PHP2Shell" חושפות את רוב האינטרנט
פורסם:
בקצרה
שתי חולשויות קריטיות ב-PHP בשם "PHP2Shell" מאפשרות לתוקפים להריץ קוד זדוני על שרתי אינטרנט ללא כניסה, על פי חברת הביטחון שגילתה אותן. תיקונים עבור CVE-2026-109618 ו-CVE-2026-109619 נשלחו ב-21 באוקטובר 2026, חודשים לאחר שחוקרים דיווחו לראשונה על הבאגים, וחברות מרובות תיעדו מאז ניסיונות ניצול בטבע.
גרסה זו היא תרגום מכונה של המקור (English). לקריאת המקור
ב-21 באוקטובר 2026, פרויקט ה-PHP הוציא גרסאות תוקנות של השפה לאחר שחוקרי אבטחה חשפו שתי חולשויות קריטיות בביצוע קוד מרחוק בשם קולקטיבי "PHP2Shell." הליקויים, המסומנים כ-CVE-2026-109618 ו-CVE-2026-109619, התגלו על ידי חברת הביטחון הענן Wiz Research, אשר הודתה לארגונים Calif ו-OpenAI על תרומתם לגילוי, תיאום אישור התיקונים, על פי כתב היד הפומבי של Wiz.
מה עושות שתי החולשויות
Wiz אומרת שתי ה-CVE למעשה כוללות ארבע באגים בסיסיים נפרדים. CVE-2026-109618 מכסה ליקוי use-after-free ב-unserializer של התקדמות ההעלאה של ה-session של PHP, אשר ניתן לנצל לביצוע קוד מרחוק, בתוספת באג קשור שיכול להדליף זיכרון מתהליך עובד PHP פעיל ללא אימות. CVE-2026-109619 מכסה use-after-free בטיפול backtrace של שגיאות קטלניות של PHP וליקוי type-confusion נפרד ב-OPcache, מטמון bytecode בזיכרון משותף של PHP.
על פי Wiz, שתי הבעיות נמצאות בנתיבי קוד שכמעט כל בקשת PHP עוברת דרכם: ניהול זיכרון וטיפול בשגיאות. ה-PHP Foundation ביטאה את אותה נקודה בתגובות שדווחו על ידי פורטל SecurityWeek.
שתי הבעיות נמצאות בחלקים של PHP שכמעט כל בקשה נוגעת בהם: ניהול זיכרון וטיפול בשגיאות.
ציר הזמן של הגילוי
צוות המחקר של Wiz — שנקרא בפוסט הבלוג שלה בשם Sagi Tzadik, Shir Tamari, Nir Ohfeld ו-Tomer Schwartz — אומר שהוא גילה את הבאג הראשון ב-19 באוגוסט 2026, ואישר ניצול ביצוע קוד מרחוק עובד כנגד התקנות WordPress ו-Drupal בשני הימים הבאים. הצוות דיווח על ממצאיו לצוות הביטחון של PHP ב-24 באוגוסט 2026. החשיפה הציבורית והתיקונים המתאימים בעקבותיה היו ב-21 באוקטובר 2026.
Wiz אומרת שהשתמשה במודלי קידוד AI, כולל Gemini 4 Argon של Google ו-GPT-5.6 Sol של OpenAI, כדי לעזור בבניית ניצולי proof-of-concept, בתיאור עבודה שהייתה דורשת מחוקרים מומחים חודשים בעבר, כעת אפשרית בשעות ספורות.
מי מושפע
Wiz מצהירה כי הליקויים הבסיסיים קיימים בכל גרסת PHP שהוצאה בערך בעשור האחרון, כשלפחות אחד משתי ה-CVE קיים מ-PHP 5.4 ואילך. החברה אומרת שאישרה ביצוע קוד מרחוק ללא אימות כנגד הגרסאות הנוכחיות של שלוש מערכות ניהול תוכן בשימוש נרחב: WordPress, Drupal ו-Joomla. SecurityWeek מדווחת כי הבאגים משפיעים על שיטות הפריסה הנפוצות של PHP, כולל PHP-FPM, Apache עם mod_php, php-cgi, FrankenPHP ו-LiteSpeed.
Wiz מסגרת את ההיקף של החשיפה כמשפיע על בערך 70% מהאינטרנט, התייחסות לשיתוף של אתרים שפועלים על PHP בצורה כלשהי, על פי כתב היד של החברה.
| פריט | פרטים |
|---|---|
| CVE-2026-109618 | Use-after-free ב-unserializer של התקדמות ההעלאה של ה-session; מאפשר ביצוע קוד מרחוק |
| CVE-2026-109619 | Use-after-free ב-backtraces של שגיאות קטלניות בתוספת באג type-confusion של OPcache |
| רמת חומרה | דורגת 9.2 על ידי צוות הביטחון של PHP, על פי SecurityWeek |
| גרסאות תוקנות | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35, הוצאו ב-21 באוקטובר 2026 |
| Backports | תיקונים מינימליים הוצאו גם ל-PHP 7.4, 8.0 ו-8.1 |
| מגלים | Wiz Research, עם קרדיט ל-Calif ו-OpenAI על תרומתם לגילוי, תיאום אישור התיקונים |
ניסיונות ניצול מאז החשיפה
מספר חברות ביטחון מעקבות אחר תנועת התקפות סביב החשיפה. SecurityWeek מדווחת שחברת watchTowr איתרה את ניסיונות הניצול הראשונים בטבע סביב הזמן שהתיקונים נחתו אך לא אישרה פגיעה מוצלחת. Hadrian אמרה ל-SecurityWeek שהיא צפתה בניסיונות ניצול בהיקף גדול לפני שהתיקונים אפילו הוצאו, ממוקדים בנתיב קוד התקדמות ההעלאה של ה-session של PHP. Patchstack, Cloudflare ו-Vega תיעדו ניסיונות ביום החשיפה, ו-Amazon אמרה שזיהתה ניסיונות ניצול ארבעה ימים לפני שהתיקונים נשלחו.
למה קנה המידה של PHP הופך את זה למשמעותי
PHP נוצר על ידי מתכנת דנמרקי-קנדי Rasmus Lerdorf, הוצא לראשונה ב-1995, וממשיך להיות אחת משפות התסריט בצד השרת הנפוצות ביותר לבניית אתרים, על פי Wikipedia. אותו מקור מציין כי בנובמבר 2025, יותר מחצי מאתרים המופעלים ב-PHP עדיין הריצו את ענף PHP 7 הלא נתמך, וכ-9.7% היו עדיין ב-PHP 5, אשר הופסק שנים קודם לכן — דפוס תוכנה קדומה שחוקרי ביטחון אומרים שמסבך תיקון מהיר ברחבי אקוסיסטם ה-PHP הרחב יותר.
שאלות
- מה זה PHP2Shell?
- PHP2Shell הוא הכינוי שחוקרים נתנו לשתי חולשויות קריטיות ב-PHP, CVE-2026-109618 ו-CVE-2026-109619, שיכולות לאפשר לתוקף להריץ קוד על שרת אינטרנט ללא כניסה, על פי Wiz Research.
- אילו גרסאות PHP מושפעות?
- Wiz אומרת שלפחות אחד משני הליקויים משפיע על גרסאות PHP מ-5.4 עד הגרסאות הנוכחיות. תיקונים הוצאו ל-PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35, עם backports מינימליים ל-PHP 7.4, 8.0 ו-8.1, על פי SecurityWeek.
- האם PHP2Shell נוצל בפועל?
- כן. SecurityWeek מדווחת כי watchTowr, Hadrian, Patchstack, Cloudflare, Vega ו-Amazon כולן בנפרד תיעדו ניסיונות ניצול, חלקם לפני שהתיקונים הרשמיים הוצאו ב-21 באוקטובר 2026.
- מי גילה את חולשויות ה-PHP2Shell?
- חברת הביטחון הענן Wiz גילתה את הבאגים החל ב-19 באוגוסט 2026, ודיווחה עליהם לצוות הביטחון של PHP ב-24 באוגוסט. Wiz הודתה לארגונים Calif ו-OpenAI על תרומתם לגילוי, תיאום אישור התיקונים, על פי כתב היד שלה.
- אילו פלטפורמות אושרו כפגיעות?
- Wiz אומרת שהדגימה ביצוע קוד מרחוק ללא אימות כנגד הגרסאות הנוכחיות של WordPress, Drupal ו-Joomla הפועלות על גרסאות PHP מושפעות.
מקורות
כתבה זו הוכנה בעזרת בינה מלאכותית ועברה בדיקת מקורות אוטומטית לפני הפרסום. אם ראיתם טעות, בקשו תיקון. בקשת תיקון או זכות תגובה · איך אנחנו עובדים
כתבות קשורות
טכנולוגיהרשימה
אפליקציות וכלים הטובים ביותר של Android שתוכלו להשיג מחוץ ל-Google Play Store
משתמשי Android אינם מוגבלים ל-Google Play: מאגר קוד פתוח F-Droid, לקוח Google Play אנונימי Aurora Store, עוקב עדכונים Obtainium, וקטלוג מבוסס Shizuku בשם ShizuStore כולם מפיצים אפליקציות שהחנות הרשמית אינה מפרסמת או מאפשרת. הנה תשע חנויות וכלים ראויים לדעת, בהתאם לרישומים שלהם וגזירה מ-MakeUseOf ו-Pocket-lint.
טכנולוגיהמאמר
PHP2Shell: שני הליקויים הקריטיים ב-PHP שאילצו ממשלות להשבית אתרים
PHP2Shell הוא הכינוי לשני ליקויים קריטיים ללא-אימות להוצאת קוד מרחוק בשפת התכנות PHP — CVE-2026-109618 ו-CVE-2026-109619 — שהוגלו ב-20–21 באוקטובר 2026. מכיוון ש-PHP מפעילה חלק גדול מאוד מאתרי האינטרנט בעולם, הליקויים הובילו כמה ממשלות לשם אתרים ציבוריים בשיקול דעת מזהיר. התיקון הרשמי הוא שדרוג PHP; קיימות הפחתות זמניות בצד השרת, אך קורא בודד לא יכול לעשות דבר מעבר למעקב אחר הודעות הפרה ושימוש בסיסמאות חזקות וייחודיות.
טכנולוגיההשוואה
iPhone Duo מול Samsung Galaxy Z Fold7: השוואת טלפונים מתקפלים
ה-iPhone Duo הראשון של Apple, שיכול להיקפל, יצא למכירה ב-23 באוקטובר 2026 במחיר התחלתי של 1,999 דולר — פחות בסנט אחד מה-Samsung Galaxy Z Fold7 (1,999.99 דולר). שני ההתקנים הניידים בסגנון ספר שונים בעיקר בגודל המסך, חומרת המצלמה, המשקל ומהירות הטעינה, בעוד שהם מגיעים למחירי התחלה כמעט זהים עם הפרש זמן של יותר משנה בין ההשקה.
טכנולוגיהידיעה
PHP2Shell: שתי ליקויי PHP קריטיים גורמים להשבתת אתרים ברחבי העולם
שתי ליקויים קריטיים בביצוע קוד מרחוק בשפת PHP, המועקבים כ-CVE-2026-109618 ו-CVE-2026-109619 והנקראים "PHP2Shell", מאפשרים לתוקפים ללא אימות להריץ קוד בשרתים פגיעים. PHP הוציאה תיקונים ב-21 באוקטובר 2026, לאחר דישול מוקדם של פרטי ניצול, וחוקרי אבטחה אומרים שהתקפות החלו לפני שהתיקונים הופעלו, מה שהביא ארגונים רבים להשבית אתרים כאמצעי זהירות.