PHP2Shell: עדכון חירום ל-PHP סוגר שתי פרצות שמאפשרות להשתלט על שרתי אתרים
פרויקט PHP שחרר ב-21 באוקטובר את גרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35, שסוגרות שתי חולשות קריטיות בליבת השפה. תוקף יכול להריץ קוד על השרת בלי להזדהות, וניסיונות ניצול נרשמו עוד לפני הפרסום.
TL;DR בקצרה
- החולשות CVE-2026-109618 ו-CVE-2026-109619, שזכו לכינוי PHP2Shell, קיבלו ציון 9.2 ומאפשרות הרצת קוד בלי הזדהות.
- החולשות במנוע של PHP עצמו, ולכן כל התקנה שמגישה דפי אינטרנט חשופה. mod_php בסיכון הגבוה ביותר.
- Amazon תיעדה ניסיון ניצול כבר ב-17 באוקטובר, ו-Cloudflare דיווחה על תקיפות לפני שהעדכון יצא.
- PHP 8.1 וגרסאות ישנות לא מקבלות עדכון רשמי, ולפי PHP אין דרך עקיפה מלאה מלבד עדכון.
פרויקט PHP שחרר ב-21 באוקטובר עדכוני חירום שסוגרים את PHP2Shell, שתי חולשות קריטיות שמאפשרות להריץ קוד על שרת אינטרנט בלי להזדהות. הגרסאות המתוקנות הן 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. WordPress ומערכות רבות לניהול אתרים וחנויות רצות על PHP. לכן העדכון נוגע לאתרים רבים מאוד.
החולשות קיבלו את המספרים CVE-2026-109618 ו-CVE-2026-109619. CVE הוא המזהה הבינלאומי של חולשת אבטחה. לפי הודעת האבטחה של PHP, שתיהן קיבלו ציון 9.2 מתוך 10. לפי BleepingComputer, חוקרים מ-Calif, OpenAI ו-Wiz גילו אותן.
מה מאפשרות חולשות PHP2Shell
הבעיה היא לא בקוד של האתר שלכם, אלא במנוע של PHP עצמו. החולשה הראשונה קשורה לטיפול במצב של חוסר זיכרון. PHP עלול לעצור באמצע הכנת נתוני הבקשה, ואז להתייחס לנתונים חלקיים כאילו הם תקינים. השנייה קשורה למידע ששורד אחרי שהזיכרון שלו שוחרר. בקשה הבאה באותו תהליך עלולה להשתמש בו.
התוצאה, לפי PHP, היא הרצת קוד מרחוק בלי שום הזדהות. כל התקנה שמגישה דפי אינטרנט חשופה: PHP-FPM, Apache עם mod_php, php-cgi, FrankenPHP ו-LiteSpeed. צוות האבטחה של PHP מדרג את mod_php בסיכון הגבוה ביותר. שם, בקשה אחת בלי הזדהות יכולה להפעיל את המתקפה עוד לפני שקוד האתר רץ.
חוקרי Wiz אומרים שהממצאים ״מדורגים בין החולשות החמורות ביותר שהתגלו ב-PHP, ואולי בתולדות התוכנה״. הם מוסיפים שמודלי AI מתקדמים הנמיכו מאוד את הרף לניצול.
PHP2Shell כבר בשימוש תוקפים
לפי Help Net Security, מלכודת הדבש MadPot של Amazon רשמה ניסיון ניצול ב-17 באוקטובר. זה היה ארבעה ימים לפני הפרסום. לא ברור איך התוקף השיג את הפרטים. גם ה-CTO של Cloudflare אמר שהחברה ראתה תקיפות ראשונות עוד לפני שהעדכון יצא.
Cloudflare הוסיפה כללי חומת אש (WAF) נגד דרכי התקיפה הידועות, גם ללקוחות בחינם. היא מגדירה אותם כזמניים. המרכז הלאומי לסייבר של בריטניה, NCSC, קרא לעדכן מיד או לנתק מהרשת מערכות שאי אפשר לעדכן. לפי הערכה של VirusTotal שמביא BleepingComputer, מעל 5.1 מיליון שרתי PHP חשופים לאינטרנט.
הבעיה הגדולה היא הגרסאות הישנות. PHP 8.1 ומטה כבר לא מקבלות עדכונים מהפרויקט. PHP פרסמה תיקונים מינימליים בקוד מקור לגרסאות 7.4, 8.0 ו-8.1, ויש הפצות שמספקות תיקון משלהן. גם PHP 8.2 מגיעה לסוף חייה ב-31 בדצמבר 2026.
עקיפות זמניות, ולמה הן לא מספיקות
PHP מפרטת צעדים שמצמצמים את החשיפה. למשל: לקבוע memory_limit=-1 בהגדרה שהאתר לא יכול לדרוס, ולהגביל את post_max_size ל-8M, או ל-32M אם יש העלאת קבצים. עוד צעד הוא לכבות את session.upload_progress.enabled ולהפעיל מחדש את כל התהליכים. אבל לשון ההודעה ברורה: ״אין עקיפות מלאות, עדכון הוא הבחירה הבטוחה היחידה״.
מה זה אומר עבורכם
- בדקו את הגרסה: ב-WordPress היכנסו לכלים, בריאות האתר ואז מידע, ובדקו את גרסת ה-PHP בחלק של השרת. אתם צריכים 8.2.35, 8.3.36, 8.4.27 או 8.5.12 ומעלה.
- אחסון משותף? פנו לחברה בכתב: בקשו אישור שהם עדכנו את השרת והפעילו מחדש את תהליכי PHP. ההפצות וספקי התמיכה ארוכת הטווח קיבלו את התיקונים מראש.
- שרת משלכם: עדכנו את חבילות PHP, ואז הפעילו מחדש את PHP-FPM או את Apache. תהליך שלא עלה מחדש ממשיך להריץ את הקוד הישן.
- גרסה ישנה מ-8.2: תכננו שדרוג מיידי. עד אז החילו את העקיפות הזמניות של PHP, והפעילו WAF כמו של Cloudflare.
- חפשו סימנים: עברו על יומני השרת מ-17 באוקטובר והלאה. חפשו קבצי PHP חדשים ומשתמשי מנהל לא מוכרים.
מה קרה מאז
ב-23 באוקטובר PHP פרסמה הודעה על חולשה שלישית, CVE-2026-115560, בדרגת חומרה נמוכה. היא חלה רק בתרחיש צר, ו-PHP תתקן אותה בעדכון הרגיל. בינתיים הפרויקט ממליץ להשאיר את session.upload_progress.enabled כבוי, לכל מי שכבר כיבה אותו.
מקורות והרחבה
- Security advisory: Critical remote code execution vulnerabilities, update nowPHP.net
- PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
- PHP2Shell: PHP vulnerabilities patched (CVE-2026-109618, CVE-2026-109619)Help Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
