ב-21 באוקטובר 2026, פרויקט PHP הוציא עדכוני חירום—גרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35—לתיקון שתי פגיעויות אבטחה קריטיות שחוקרים וגורמי אבטחה קראו להן "PHP2Shell", לפי Help Net Security ומרכז הסייבר הקנדי. הפגיעויות עוקבות בצורת CVE-2026-109618 ו-CVE-2026-109619, שתיהן מתוארות כבעיות חומרה קריטית; המקורות שנבדקו לכתבה זו לא ציטטו ציון CVSS מספרי רשמי.
מה הפגיעות עושה
שתי הפגיעויות הן באגים בבטיחות זיכרון באופן שבו PHP מטפל בבקשות בתנאים חריגים, לפי Bleeping Computer ו-Help Net Security. CVE-2026-109618 מתרחשת כאשר שגיאת זיכרון חסר מפריעה ל-PHP בזמן שנתונות בקשה פנימיים מוגדרים רק חלקית, כך שדרישות ניקיון מאוחר מתייחסות לנתונים חסרים אלה כתקפים. CVE-2026-109619 היא פגיעות בעמדה עשנה: זיכרון הקשור לבקשה אחת יכול להשתחרר וללמעשה בשימוש חוזר על ידי בקשה מאוחרת באותו עובד לפני שהוא איפס כראוי, מה שעלול לחשוף נתונים או לאפשר ביצוע קוד.
מרכז הסייבר הקנדי סיווג את שתי הפגיעויות כ-Use-After-Free (CWE-416) ואמר שהתקפה מוצלחת מאפשרת לתוקף לא מורשה להריץ קוד שרירותי על השרת, ללא צורך בסיסמה או כל פעולה מצד המשתמש. הסוכנות אמרה כי פריסות mod_php מעמדות בהסכנה הגבוהה ביותר, כיוון שניצול מוכח יכול לעורר את הבאג לפני שלכל קוד אפליקציה יש הזדמנות לרוץ — תיאור שנעשה שימוש בו גם על ידי צוות אבטחת PHP, לפי Bleeping Computer.
הפגם משפיע על כל התקנת PHP המשרתת בקשות אינטרנט, כולל PHP-FPM, mod_php של Apache, php-cgi, FrankenPHP ו-LiteSpeed, לפי Bleeping Computer וההנחיה הקנדית. הקוד הבסיסי קיים ב-PHP למעלה מעשור, לפי Fortune, אם כי תיקונים רשמיים הוצאו לענפים בהם תמיכה פעילה 8.2–8.5, עם backports ברמת המקור בוצעו זמינים לענפים 7.4 דרך 8.1, אשר חלפו תאריכי סיום התמיכה שלהם.
איך זה התגלה, ולמה AI חשוב כאן
לפי Fortune, הקוד הפגום קיים ב-PHP למעלה מעשור, אך שלוש צדדים נפרדים התכנסו אליו בחודש אוגוסט 2026: חברת אבטחה Wiz, חברה בשם Calif, ו-OpenAI, עבודה עם PHP Foundation על תיקון וגילוי מתואם. Fortune דיווחה כי Wiz השתמשה בדגמי בינה מלאכותית כולל GPT-5.6 Sol של OpenAI ו-Gemini 4 Argon של Google כדי לעזור להבין את החולשה והפוך אותה לניצול עובד. Wiz אמרה ל-Fortune שהמקרה ייצג שינוי המונע על ידי AI, אמרה כי בזמן שהקוד הפגום קיים למעלה מעשור, מה שהשתנה היה היכולת של חוקרים להשתמש ב-AI להבין את החולשות והפוך אותן לניצול עובד.
Fortune דיווחה גם כי OpenAI, בהצהרה שלה, אמרה שהאירוע הראה כיצד AI יכול לעזור לחשוף פגיעות אבטחה בעלות השפעה בקנה מידה אינטרנט, תוך הודאה כי אותן יכולות AI יכולות גם לעזור לתוקפים לפתח כלים וניצולים התקפיים מהר יותר.
ניסיונות ניצול והתגובה המוקדמת של Cloudflare
Cloudflare אמרה בבלוג שלה כי הפעילה כללי Web Application Firewall ב-03:02 UTC ב-21 באוקטובר, מה שהיא תיארה כ-תשע שעות בערך לפני הגילוי הציבורי של הפגיעויות. החברה פרסמה שבע "כללים כלליים – ביצוע חריג" לעמיתי רמת חינם ומערכת נפרדת של שבע כללים שוויוניים לתוכניות בתשלום, בתוספת כלל אחד נוסף שבודק גם את הבקשה וגם את התגובה בתוך אותו עסקה, לפי פוסט Cloudflare כפי שסכם על ידי ppc.land. הפוסט אמר כי Cloudflare צפתה בתוקפים משנים את עומסי הניצול שלהם מאוחר יותר בנסיון ברור להתחמק מהכללים החדשים, אם כי היא לא פרסמה נתוני נפח התקפה מדויקים.
בנפרד, צוות Threat Intelligence של Amazon אמר כי גילה ניסיונות ניצול נגד הפגיעויות החל מ-17 באוקטובר 2026—ארבעה ימים לפני התיקון הציבורי—לפי Bleeping Computer, מה שמעיד כי כמה שחקנים באיום היו גישה לפרטי ניצול לפני גילוי כללי. לעומת זאת, הנחיית מרכז הסייבר הקנדי קבעה כי, בזמן כתיבתה, היא לא זיהתה ניצול פעיל, תוך הזהרה כי המצב עלול להשתנות במהירות. שתי ההערכות משקפות נקודות תצפית וזמנים שונים ולא סתירה עובדתית.
יפן: הממשלה דורשת תיקון או כיבוי
הפגיעות משכה תשומת לב במיוחד אינטנסיבית ביפן. הלשכה הלאומית הקנדית לאבטחת סייבור של יפן, גוף ממשיך ל-NISC שסודר מחדש ביולי 2025, הוציאה הנחיה המעודדת מפעילים לבדוק אם אתרי האינטרנט שלהם מריצים PHP ולפעול במהירות, לפי דוח BigGo Finance על הצהרת הסוכנות. ראש ממשלת Sanae Takaichi פרסמה על X וקראה לזה "בקשה דחופה לכולם להגיב הלילה," ואמרה כי השהיית זמן ארעית של אתר יכולה להיות דרך יעילה להפחית סיכון אם לא היה אפשר לתקן מיד, לפי BigGo Finance.
בעקבות ההנחיה זו, מספר שירותי אינטרנט יפניים נכנסו לתחזוקה חירום בלילה של 21 באוקטובר, כולל פלטפורמת ניהול יום לילדים CoDMON, משחק קלפים Shadowverse: Worlds Beyond, בנייה חנות מקוונת BASE וספק אירוח Sakura Internet, לפי דוח BigGo Finance. התיקונים הרשמיים של PHP הוצאו בסביבות שעה 10:40 בערב בשעון יפן, לפני מטרה התחלתית המוצהרת בשעה 11 בערב, אמר הדוח זהה.
בנפרד, Internet Watch (Impress) דיווחה כי ספק תקשורת יפני Baltec השהה כ-23 שירותים—כיסוי ענן, הזמנה, נקודת מכירה וכלים לניהול הוצאות—לאחר גילוי גישה לא מורשית עם חשש לחשיפת נתונים אישיים. Baltec ביעדה לתחילה את התקרית להתקפה סייבר המכוונת לפגיעות PHP, אך החברה הוציאה תיקון ביום זהה לטענה כי הגורם בפועל היה פגיעות בשירות שלה שלה, לא לפגם PHP, לאחר שאמרה היא התבלבלה בין שתי הבעיות בזמן בדיקת הצעדים האבטחה שלה הקשורה ל-PHP. Baltec כיוונה לשחזור השירות בחלוף 26 באוקטובר, דיווחה Internet Watch.
היקף החשיפה
PHP כוח בערך 70% מהאתרים בעולם, כולל אתרי WordPress, ויקיפדיה, Microsoft.com ו-Archive.org, לפי Fortune, ציטוט שערך 40% מכל האתרים פועלים ב-WordPress, המאחוריה עצמה תלויה ב-PHP. Fortune גם ציטטה סריקה ראשונית המזהה 22.6 מיליון PHP instances פוטנציאלית פגיעות חשופות לאינטרנט.
PHP2Shell בהצצה| פריט | פרט |
|---|
| מזהי CVE | CVE-2026-109618 ו-CVE-2026-109619 |
|---|
| חומרה | מתוארת כקריטית בכל המקורות שנבדקו; לא נמצאה ניקוד CVSS מספרי רשמי בתוך אותם מקורות |
|---|
| סוג פגיעות | Use-after-free / corruption זיכרון (CWE-416) |
|---|
| גרסאות מתוקנות | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (backports לרמת מקור עבור 7.4–8.1) |
|---|
| תאריך גילוי/תיקון | 21 באוקטובר 2026 |
|---|
| ניסיונות ניצול ראשונים שדווחו | 17 באוקטובר 2026 (לפי Amazon Threat Intelligence, כפי שצוטט על ידי Bleeping Computer) |
|---|
| שיתוף אינטרנט פעיל PHP | ~70%, לפי Fortune |
|---|
מה עדיין לא ידוע
נכון להיום, בעיתונות זמינה, שום מקור לא מאשר הפרה מוצלחת בקנה מידה גדול שקשורה ישירות לניצול PHP2Shell, בניגוד לכיבויים זהירותיים. נתונים על ניסיונות ניצול מוחלטים משתנים לפי מקור ועשור מדידה: מנכ"ל Cloudflare הצוטט בכיסוי יפני דרך Yahoo! News תיאור מספרי ניסיונות עולה מאלפים קודם גילוי עד עשרות אלפים ב-45 דקות והגעה למאות אלפים בשעתיים, עם סך הכל תוארו כהגעה למיליונים בזמן דוח זה; בלוג Cloudflare שלה לא חזר על נתונים מסוגים אלה מוגדרים. קוראים חייבים להתייחס למספרים דקויים של נפח התקפה כראשיתי וכפוף לתיקון על ידי הארגונים העוקבים אחריהם.
