השפה הזו תורגמה אוטומטית ולא נבדקה על ידי אדם.

NIVΞCTOR
חדשותתמיכה

הספירה עוד לא התחילה

טכנולוגיה · מאמר

PHP2Shell: שני הליקויים הקריטיים ב-PHP שאילצו ממשלות להשבית אתרים

פורסם:

בקצרה

PHP2Shell הוא הכינוי לשני ליקויים קריטיים ללא-אימות להוצאת קוד מרחוק בשפת התכנות PHP — CVE-2026-109618 ו-CVE-2026-109619 — שהוגלו ב-20–21 באוקטובר 2026. מכיוון ש-PHP מפעילה חלק גדול מאוד מאתרי האינטרנט בעולם, הליקויים הובילו כמה ממשלות לשם אתרים ציבוריים בשיקול דעת מזהיר. התיקון הרשמי הוא שדרוג PHP; קיימות הפחתות זמניות בצד השרת, אך קורא בודד לא יכול לעשות דבר מעבר למעקב אחר הודעות הפרה ושימוש בסיסמאות חזקות וייחודיות.

גרסה זו היא תרגום מכונה של המקור (English). לקריאת המקור

PHP2Shell הוא כינוי לשני ליקויים בשפת התכנות PHP עצמה, ולא באתר אינטרנט או אפליקציה יחידה. הם מתועדים כ-CVE-2026-109618 ו-CVE-2026-109619, וצוות האבטחה של PHP דירג את שניהם 9.2 מתוך 10 בסולם CVSS v4.0, שהוא השכבה 'קריטית', לפי דף הארכיון הרשמי של פרויקט PHP 2026.

מה בדיוק עושים שני הליקויים

על פי ההודעה הרשמית של PHP, CVE-2026-109618 מופעל כאשר ל-PHP אין זיכרון זמין תוך כדי עיבוד בקשת אינטרנט. שגיאת אין זיכרון יכולה להפריע ל-PHP לפני שנתוני הבקשה הפנימיים הם מוגדרים במלואם, וההליך הנקי שלאחר מכן עלול להתייחס לנתונים חלקיים כחוקיים, מה שעלול להוביל לשחיתות זיכרון והוצאת קוד מרחוק.

CVE-2026-109619 מתואר על ידי PHP כשגיאת 'מצב גלובלי ישן': נתונים הקשורים לבקשה של מבקר אחד יכולים להישמר בזיכרון השרת לאחר שהיה צריך לנקות אותם, והבקשה של המבקר הבא המטופלת על ידי אותו תהליך עובד עלול בסופו של דבר לפעול על בסיס שאריות אלה. חברת האבטחה watchTowr, המנהלת רשת ניטור גלובלית, אמרה שגם שתי השגיאות מאפשרות למתקיף להריץ קוד ללא ירשום, לפני שקוד האתר עצמו מתחיל אפילו להתבצע.

חברת האבטחה ההולנדית Sansec הוסיפה פרטים טכניים נוספים, אמרה שאחת הנתיבים לנצל עוברת דרך תכונת 'התקדמות העלאה' של הסשן ב-PHP ויכולה לחשוף נתונים כגון סיסמאות, מפתחות API ומפתחות הצפנה שהיו קיימים בזיכרון השרת מבקשות אחרות שאינן קשורות.

מדוע נחשפים כל כך הרבה אתרים

הליקויים יושבים בתוך מנוע PHP, כך שכל אתר אינטרנט או אפליקציה שנבנתה עם PHP עלויה להיות חשופה, בלא תלות באיזה מערכת תוכן רצה עליה. זה כולל פלטפורמות בשימוש נרחב כמו WordPress, Drupal, Joomla, Magento ו-Nextcloud, לפי Sansec. PHP נשארת אחת משפות התכנות בצד השרת בשימוש הרחב ביותר ברשת, וזה אחת הסיבות שהליקויים הטוענים כיוצרים סיכון רחב ובקנה מידה גדול.

חוקרי אבטחה ב-Wiz זיהו את הליקויים, וכתב Help Net Security דיווח שהחוקרים אמרו שהקידומות בכלים בינה מלאכותית פרונטיאר הורידו משמעותית את הממד הטכני להשחלת בעיה דעה ידועה וקשה לניצול בעיבוד זיכרון לניצול פעולה.

מדוע ממשלות השביתו אתרים

פרטים טכניים של הליקויים דלפו לפני שהתיקון הרשמי של PHP היה מוכן, מה שהפחית את המתחיל הראשי שמגנים מקבלים לפני התיקון הופך לציבורי. בלוג האבטחה Safeguard דיווח שב-21 באוקטובר 2026, הולנד השביתה שירותים כולל אתר מרכז הסייבר הלאומי שלה, Overheid.nl, אתר בית הנציגים וכמה אתרים של בתי חולים ומפלגות פוליטיות כשיקול זהירות. ספקית הטכנולוגיה של המדינה הפינית Valtori השביתה שירותי רשת ממשלתיים כצעד זהירות, וחברת טכנולוגיה עירונית דנית Kombit סגרה מספר שירותים כולל פלטפורמת תקשורת בית ספר לאומית. משרד הפנים הצרפתי השביתה זמנית אתרי מחוז ואתרים אדמיניסטרטיביים מקומיים, וכן שהוא מחכה לתיקון PHP להיות מיושם. ספקית הטכנולוגיה הפדרלית של גרמניה ITZBund ושר החוץ של בלגיה גם השביתו אתרים, אך Safeguard דיווח שהם נתנו סיבות שונות: ITZBund אמרה שהוא לא מכיר אירועי אבטחה, בעוד שר החוץ של בלגיה ציטוט דוחות של התקפות.

watchTowr אמרה שרשת honeypot שלה, Attacker Eye, רשמה ניסיונות ניצול בעולם האמיתי החל מ-21 באוקטובר 2026, יום אחד לאחר הדליפה וביום ובו PHP פרסמה את התיקון שלה.

מושוואת שני הליקויים

CVE-2026-109618 מול CVE-2026-109619
CVE-2026-109618CVE-2026-109619
ניקוד CVSS v4.09.2 (קריטי)
סיבה שורשיתהטיפול בחוסר זיכרון משאיר נתוני בקשה באופן חלקי מאותחלים
אימות נדרשלא
תוקן בPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
הגדרות בסיכון הגבוה ביותרmod_php ב-Apache, לפי watchTowr

כיצד להגן על האתר והנתונים שלך

  1. אם אתה מריץ אתר על PHP: שדרג לגרסה מתוקנת — PHP 8.5.12, 8.4.27, 8.3.36 או 8.2.35 — והפעל מחדש את כל תהליכי העובד של PHP לאחר מכן, שכן הודעת PHP ו-runZero מדגישים שעדכון הוא ההסדר הקומפליט היחיד.
  2. אם אתה עדיין בן PHP 7.4, 8.0 או 8.1, אשר כבר לא מקבלים עדכונים רשמיים, קבל תיקון אבטחה Backported מהפצת Linux או ספק ההוסטינג שלך, מכיוון שפרויקט PHP עצמו הפסיק את תחזוקת הענפים האלה, לפי דף הארכיון של PHP.
  3. עד שתוכל לתקן, runZero ממליצה על צעדים זמניים בצד השרת או ה-proxy: כותם מגבלות זיכרון כך שיישומים לא יכולים לעקוף אותם, אכוף מגבלות נמוכות בגודל בקשה וזעות להעלאה רב-חלקיות, והשבת את תכונת 'התקדמות הסשן' בהעלאה.
  4. בדוק את יומני גישת שרת האינטרנט שלך עבור בקשות POST חריגות multipart/form-data, אשר Sansec אומרת שהן נפוצות בניסיונות ניצול ידועים, וקפץ קדימה עבור שיאי זיכרון PHP בלתי צפויים או טעויות קטלניות.
  5. כמשתמש אינטרנט בממוצע, אתה לא יכול לתקן שרתים שאתה לא שולט בהם, אך אתה יכול לקפץ קדימה עבור הודעות הפרה משירותים בהם אתה משתמש, استخدام סיסמה ייחודית לכל חשבון, והפעל אימות דו-גורמי כך שסיסמה מדולפת לבדה אינה מספיקה לגישה לחשבונות שלך.

PHP קובעת כי שום שינוי הגדרות מקפץ מלא היטב את הליקויים אלה.

— watchTowr FAQ על CVE-2026-109618

מה עדיין לא ברור

כנכון לדיווחים שנבדקו, הייתה אי-הסכמה בין מומחים על כמה נרחב כבר היה ניצול פעיל בזמן שכמה ממשלות החליטו להשבית אתרים; Safeguard דיווח שממשלת הולנד אמרה שלה אין סימנים של ניצול פעיל כאשר היא פעלה, בעוד watchTowr בנפרד אישר ניסיונות התקפה בעולם האמיתי נגד honeypots שלה ביום שלאחר מכן.

שאלות

מה זה PHP2Shell?
PHP2Shell הוא הכינוי שניתן לשני ליקויים קריטיים ב-PHP, CVE-2026-109618 ו-CVE-2026-109619, המאפשרים למתקיף שלא זוהה להוציא קוד על שרת אינטרנט, לפי הודעת האבטחה הרשמית של PHP 2026 וניתוח watchTowr.
אילו גרסאות PHP מושפעות?
גרסאות PHP 7.4 עד 8.5 לפני תיקוני אוקטובר 2026 מושפעות; גרסאות מתוקנות הן 8.5.12, 8.4.27, 8.3.36 ו-8.2.35, לפי דף הארכיון הרשמי של PHP ו-watchTowr.
האם נתוני האישי שלי בסיכון בגלל PHP2Shell?
הנתונים שלך בסיכון רק אם שירות בו אתה משתמש מריץ שרת PHP לא מתוקן; Sansec דיווחה שאחד הליקויים יכול לחשוף סיסמאות, מפתחות API ומפתחות הצפנה שישבו בזיכרון שרת, אך משתמשים בודדים לא יכולים לתקן זאת בעצמם — רק מפעיל האתר יכול על ידי תיקון.
מדוע ממשלות השביתו אתרי אינטרנט?
מספר ממשלות, כולל הולנד, פינלנד, דנמרק, צרפת, גרמניה וכן בלגיה, השביתו אתרים ציבוריים כשיקול זהירות לאחר דליפת פרטים טכניים לפני התיקון הרשמי של PHP היה מוכן, לפי דיווח של בלוג אבטחה Safeguard.
האם שדרוג הדפדפן או אנטיוירוס שלי מגן עלי מפני PHP2Shell?
לא — PHP2Shell הוא ליקוי בצד השרת בשפת התכנות PHP המשמשת אתרים, כך שההגנה תלויה באופרטורי אתרים בשדרוג התקנות PHP שלהם, לא בשום דבר משתמשים משנים בהתקנים שלהם.

מקורות

  1. PHP.net — Archive 2026 (security release details, CVE-2026-109618 & CVE-2026-109619)
  2. Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
  3. watchTowr — PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619 Fixes
  4. Sansec — PHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619)
  5. Safeguard — PHP2Shell: Why Governments Took Websites Offline on 21 October
  6. runZero — Critical RCE vulnerability in PHP: Find impacted assets
  7. W3Techs — Usage statistics of PHP for websites

כתבה זו הוכנה בעזרת בינה מלאכותית ועברה בדיקת מקורות אוטומטית לפני הפרסום. אם ראיתם טעות, בקשו תיקון. בקשת תיקון או זכות תגובה · איך אנחנו עובדים

כתבות קשורות