השפה הזו תורגמה אוטומטית ולא נבדקה על ידי אדם.

NIVΞCTOR
חדשותתמיכה

הספירה עוד לא התחילה

טכנולוגיה · ידיעה

PHP2Shell: שתי ליקויי PHP קריטיים גורמים להשבתת אתרים ברחבי העולם

פורסם:

בקצרה

שתי ליקויים קריטיים בביצוע קוד מרחוק בשפת PHP, המועקבים כ-CVE-2026-109618 ו-CVE-2026-109619 והנקראים "PHP2Shell", מאפשרים לתוקפים ללא אימות להריץ קוד בשרתים פגיעים. PHP הוציאה תיקונים ב-21 באוקטובר 2026, לאחר דישול מוקדם של פרטי ניצול, וחוקרי אבטחה אומרים שהתקפות החלו לפני שהתיקונים הופעלו, מה שהביא ארגונים רבים להשבית אתרים כאמצעי זהירות.

גרסה זו היא תרגום מכונה של המקור (English). לקריאת המקור

PHP, שפת סקריפט שמנהלת חלק גדול מהקוד בצד שרת של הרשת, נפגעה משני ליקויי אבטחה קריטיים שנחשפו בחודש אוקטובר 2026. בשם כולל "PHP2Shell" וניסיון ל-CVE-2026-109618 ו-CVE-2026-109619, הליקויים מאפשרים לתוקף ללא חשבון או סיסמה להריץ קוד שרירותי בשרת רשת פגיע.

מה הליקויים עושים

על פי חברת האבטחה watchTowr, CVE-2026-109618 מתרחש כאשר PHP נגמרה הזיכרון באמצע הגדרת בקשה נכנסת, משאירה נתונים של בקשה פנימיים רק חלקית מאותחלים; שגרת הניקיון של PHP מתעמתת בטעות עם נתונים שגויים אלה כתקפים. CVE-2026-109619 כולל מצב פנימי הקשור לבקשה אחת הקיימת לאחר שהזיכרון שהוא מצביע אליו שוחרר כבר, כך שבקשה מאוחרת שעובדת על ידי תהליך עובד זהה יכולה להשתמש במצב זקן זה לפני שחידוש אתחול רגיל אותו.

חברת מחקר Wiz, שבחנה את הליקויים, אמרה ל-Help Net Security שהבעיות הישנו ללא שים לב במשך שנים וקטגוריה בין החמורות ביותר שנמצאו בשפה. מעבר להדפסת קוד מרחוק מלאה, watchTowr אמרה שהליקויים יכולים גם לחסל תהליכי עובד PHP, לאפשר קריאות קבצים שרירותיות, או לדלוף זיכרון שרת.

מי מצא את זה, ומתי

שני הליקויים דווחו דרך מאמצי מחקר נפרדים. הודעת watchTowr מעניקה את הגילוי לצוות המחקר של אבטחה ב-Calif, בעוד שסיקור של Help Net Security מייחס זיהוי וחשיפה לחוקרים ב-Wiz. ציר הזמן של הגילוי היה יוצא דופן: פרטים שנועדו להישאר בסודיות דולפו פומביות ב-20 באוקטובר 2026, ו-watchTowr אישרה שהמידע שדלף היה אותנטי. מנהלי PHP הגיבו על ידי הוצאת תיקונים יום אחד לפני התאריך המתוכנן ל-22 באוקטובר, בשעה 14:00 UTC ב-21 באוקטובר 2026.

טווח: מי מריץ PHP פגיע

PHP נשארת אחת משפות צד שרת הנפוצות ביותר על הרשת, והליקויים יכולים להשפיע על כל הגדרה המעבדת בקשות HTTP נכנסות דרכה. הגדרות פגיעות כוללות PHP-FPM, Apache עם mod_php, php-cgi, FrankenPHP ו-LiteSpeed, על פי watchTowr, כלומר הליקוי נמצא בשכבת השרת עצמה ולא בשום יישום יחיד.

גרסאות PHP פגיעות ותיקונות
ענף PHPגרסאות פגיעותגרסה מתוקנת
8.5.xמתחת ל-8.5.128.5.12
8.4.xמתחת ל-8.4.278.4.27
8.3.xמתחת ל-8.3.368.3.36
8.2.xמתחת ל-8.2.358.2.35
7.4, 8.0, 8.1כל הגרסאותאין תיקון PHP ליבה רשמי; חלוקות Linux או תיקוני ספק תמיכה ארוכי טווח או מעבר לענף שנתמך
7.3 ויותר ישןכל הגרסאותאין תיקון זמין; דרוש שדרוג לענף שנתמך

מכיוון שתמיכה ב-PHP 7.4, 8.0 ו-8.1 אינה נתמכת עוד רשמית, watchTowr אומרת שאין תיקון מפרויקט ליבת PHP לאתרים שעדיין מריצים את הענפים האלה, אם כי חלוקות Linux או תיקוני ספק תמיכה ארוכי טווח עשויים להיות זמינים כאפשרות ביניים; אחרת התקנות אלה צריכות לעבור לענף שנתמך. PHP 7.3 ויותר ישן אין להם תיקון כלל, על פי watchTowr. הודעת PHP קובעת שאין שינוי קונפיגורציה סוגר לחלוטין את הליקויים מלבד עדכון התוכנה.

השפעה וניצול

Help Net Security דיווחה שרשת honeypot בניהול Amazon זיהתה ניסיונות ניצול ב-17 באוקטובר 2026 - ארבעה ימים לפני התיקון הציבורי - מה שמצביע על כך שחלק מהתוקפים היו בעלי גישה מוקדמת לפרטי ניצול. watchTowr אמרה שרשת honeypot "Attacker Eye" שלה שם לב לניצול פעיל בתוך הטבע המשך לאחר שחרור התיקון ב-21 באוקטובר. מערכות ניהול תוכן המבוססות על PHP, כולל WordPress, Drupal ו-Joomla, יחד עם יישומים המבוססים על Laravel ופלטפורמות מסחר אלקטרוני, כולם בטווח ההשפעה שהושפע מכיוון שהם מריצים על מנוע PHP פגיע.

כאשר התיקון התחיל, סוכנויות ממשלתיות, פורומים מקוונים, פלטפורמות משחקים וכמה אתרים הקשורים לתשתיות הורידו למצב לא פעיל כאמצעי זהירות בעוד מפעילים יישמו תיקונים, על פי הסיקור המסוכם בערך PHP2Shell ב-Wikipedia. המרכז הלאומי לאבטחה סייבר של בריטניה הציע לארגונים שלא יכלו לתקן מיד להוציא מהשירות מערכות פגיעות במקום זאת, על פי דיווח Help Net Security.

הממצאים הללו דורגים בין הליקויים החמורים ביותר שגובשו ב-PHP, ואולי בהיסטוריה של התוכנה.

— חוקרי Wiz, כמו שצוטט על ידי Help Net Security

דירוג חומרה וההנחיה למנהלי אתרים

מפתחי PHP דירגו את שני הליקויים 9.2 מתוך 10 בסולם CVSS v4.0, ניקוד "קריטי", על פי הודעת watchTowr. נתיב הסיוע הברור, על פי הודעת PHP ו-watchTowr, הוא שדרוג ל-PHP 8.5.12, 8.4.27, 8.3.36 או 8.2.35 בהתאם לענף שהשרת מריץ; אתרים ב-7.4, 8.0 או 8.1 צריכים להשתמש בתיקון חלוקה או לעבור לענף שנתמך, בעוד שרתים ב-7.3 או יותר ישן אין להם תיקון זמין וצריכים שדרוג.

שאלות

מה זה PHP2Shell?
PHP2Shell הוא שם כינוי לשני ליקויי PHP קריטיים, CVE-2026-109618 ו-CVE-2026-109619, המאפשרים לתוקף ללא פרטי כניסה להריץ קוד בשרת רשת המריץ PHP פגיע.
אילו גרסאות PHP פגיעות?
גרסאות לפני 8.2.35, 8.3.36, 8.4.27 ו-8.5.12 פגיעות ויש להן תיקונים רשמיים. PHP 7.4, 8.0 ו-8.1 גם פגיעות; מכיוון שהענפים האלה אינם נתמכים, אין תיקון PHP ליבה רשמי, אם כי תיקוני ספק תמיכה ארוכי טווח או חלוקות Linux עשויים להיות זמינים, על פי watchTowr. PHP 7.3 ויותר ישן אין להם תיקון זמין כלל.
האם PHP2Shell מנוצל בפעילות?
כן. Help Net Security דיווחה שניסיונות ניצול הוכרו דרך honeypot של Amazon כבר ב-17 באוקטובר 2026, ו-watchTowr אמרה שרשת honeypot שלה שמה לב לניצול פעיל בעקבות שחרור התיקון ב-21 בא��קטובר.
כמה אתרים יכולים להיות פגיעים?
PHP נשארת אחת משפות צד שרת הנפוצות ביותר על הרשת, כולל אתרים הנבנים באמצעות WordPress, Drupal ו-Joomla, לכן לשני הליקויים יש טווח הגעה פוטנציאלי רחב, על פי watchTowr והתקציר בערך PHP2Shell ב-Wikipedia.
כיצד מנהל אתר יכול לתקן זאת?
הודעות PHP ו-watchTowr אומרות שהתיקון המלא היחיד הוא שדרוג לגרסה מתוקנת - 8.5.12, 8.4.27, 8.3.36 או 8.2.35 בהתאם לענף - מכיוון שאין שינוי קונפיגורציה סוגר לחלוטין את הליקויים. אתרים בענפים שאינם נתמכים (7.4, 8.0, 8.1 או 7.3 ויותר ישן) צריכים להשתמש בתיקוני ספק בהם זמינים או לשדרג לענף שנתמך.

מקורות

  1. Wikipedia — PHP2Shell
  2. watchTowr — PHP2Shell RCE Exploited: CVE-2026-109618 & CVE-2026-109619
  3. Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
  4. Wikipedia — PHP

כתבה זו הוכנה בעזרת בינה מלאכותית ועברה בדיקת מקורות אוטומטית לפני הפרסום. אם ראיתם טעות, בקשו תיקון. בקשת תיקון או זכות תגובה · איך אנחנו עובדים

כתבות קשורות