טכנולוגיה · ידיעה
PHP2Shell: שתי ליקויי PHP קריטיים גורמים להשבתת אתרים ברחבי העולם
פורסם:
בקצרה
שתי ליקויים קריטיים בביצוע קוד מרחוק בשפת PHP, המועקבים כ-CVE-2026-109618 ו-CVE-2026-109619 והנקראים "PHP2Shell", מאפשרים לתוקפים ללא אימות להריץ קוד בשרתים פגיעים. PHP הוציאה תיקונים ב-21 באוקטובר 2026, לאחר דישול מוקדם של פרטי ניצול, וחוקרי אבטחה אומרים שהתקפות החלו לפני שהתיקונים הופעלו, מה שהביא ארגונים רבים להשבית אתרים כאמצעי זהירות.
גרסה זו היא תרגום מכונה של המקור (English). לקריאת המקור
PHP, שפת סקריפט שמנהלת חלק גדול מהקוד בצד שרת של הרשת, נפגעה משני ליקויי אבטחה קריטיים שנחשפו בחודש אוקטובר 2026. בשם כולל "PHP2Shell" וניסיון ל-CVE-2026-109618 ו-CVE-2026-109619, הליקויים מאפשרים לתוקף ללא חשבון או סיסמה להריץ קוד שרירותי בשרת רשת פגיע.
מה הליקויים עושים
על פי חברת האבטחה watchTowr, CVE-2026-109618 מתרחש כאשר PHP נגמרה הזיכרון באמצע הגדרת בקשה נכנסת, משאירה נתונים של בקשה פנימיים רק חלקית מאותחלים; שגרת הניקיון של PHP מתעמתת בטעות עם נתונים שגויים אלה כתקפים. CVE-2026-109619 כולל מצב פנימי הקשור לבקשה אחת הקיימת לאחר שהזיכרון שהוא מצביע אליו שוחרר כבר, כך שבקשה מאוחרת שעובדת על ידי תהליך עובד זהה יכולה להשתמש במצב זקן זה לפני שחידוש אתחול רגיל אותו.
חברת מחקר Wiz, שבחנה את הליקויים, אמרה ל-Help Net Security שהבעיות הישנו ללא שים לב במשך שנים וקטגוריה בין החמורות ביותר שנמצאו בשפה. מעבר להדפסת קוד מרחוק מלאה, watchTowr אמרה שהליקויים יכולים גם לחסל תהליכי עובד PHP, לאפשר קריאות קבצים שרירותיות, או לדלוף זיכרון שרת.
מי מצא את זה, ומתי
שני הליקויים דווחו דרך מאמצי מחקר נפרדים. הודעת watchTowr מעניקה את הגילוי לצוות המחקר של אבטחה ב-Calif, בעוד שסיקור של Help Net Security מייחס זיהוי וחשיפה לחוקרים ב-Wiz. ציר הזמן של הגילוי היה יוצא דופן: פרטים שנועדו להישאר בסודיות דולפו פומביות ב-20 באוקטובר 2026, ו-watchTowr אישרה שהמידע שדלף היה אותנטי. מנהלי PHP הגיבו על ידי הוצאת תיקונים יום אחד לפני התאריך המתוכנן ל-22 באוקטובר, בשעה 14:00 UTC ב-21 באוקטובר 2026.
טווח: מי מריץ PHP פגיע
PHP נשארת אחת משפות צד שרת הנפוצות ביותר על הרשת, והליקויים יכולים להשפיע על כל הגדרה המעבדת בקשות HTTP נכנסות דרכה. הגדרות פגיעות כוללות PHP-FPM, Apache עם mod_php, php-cgi, FrankenPHP ו-LiteSpeed, על פי watchTowr, כלומר הליקוי נמצא בשכבת השרת עצמה ולא בשום יישום יחיד.
| ענף PHP | גרסאות פגיעות | גרסה מתוקנת |
|---|---|---|
| 8.5.x | מתחת ל-8.5.12 | 8.5.12 |
| 8.4.x | מתחת ל-8.4.27 | 8.4.27 |
| 8.3.x | מתחת ל-8.3.36 | 8.3.36 |
| 8.2.x | מתחת ל-8.2.35 | 8.2.35 |
| 7.4, 8.0, 8.1 | כל הגרסאות | אין תיקון PHP ליבה רשמי; חלוקות Linux או תיקוני ספק תמיכה ארוכי טווח או מעבר לענף שנתמך |
| 7.3 ויותר ישן | כל הגרסאות | אין תיקון זמין; דרוש שדרוג לענף שנתמך |
מכיוון שתמיכה ב-PHP 7.4, 8.0 ו-8.1 אינה נתמכת עוד רשמית, watchTowr אומרת שאין תיקון מפרויקט ליבת PHP לאתרים שעדיין מריצים את הענפים האלה, אם כי חלוקות Linux או תיקוני ספק תמיכה ארוכי טווח עשויים להיות זמינים כאפשרות ביניים; אחרת התקנות אלה צריכות לעבור לענף שנתמך. PHP 7.3 ויותר ישן אין להם תיקון כלל, על פי watchTowr. הודעת PHP קובעת שאין שינוי קונפיגורציה סוגר לחלוטין את הליקויים מלבד עדכון התוכנה.
השפעה וניצול
Help Net Security דיווחה שרשת honeypot בניהול Amazon זיהתה ניסיונות ניצול ב-17 באוקטובר 2026 - ארבעה ימים לפני התיקון הציבורי - מה שמצביע על כך שחלק מהתוקפים היו בעלי גישה מוקדמת לפרטי ניצול. watchTowr אמרה שרשת honeypot "Attacker Eye" שלה שם לב לניצול פעיל בתוך הטבע המשך לאחר שחרור התיקון ב-21 באוקטובר. מערכות ניהול תוכן המבוססות על PHP, כולל WordPress, Drupal ו-Joomla, יחד עם יישומים המבוססים על Laravel ופלטפורמות מסחר אלקטרוני, כולם בטווח ההשפעה שהושפע מכיוון שהם מריצים על מנוע PHP פגיע.
כאשר התיקון התחיל, סוכנויות ממשלתיות, פורומים מקוונים, פלטפורמות משחקים וכמה אתרים הקשורים לתשתיות הורידו למצב לא פעיל כאמצעי זהירות בעוד מפעילים יישמו תיקונים, על פי הסיקור המסוכם בערך PHP2Shell ב-Wikipedia. המרכז הלאומי לאבטחה סייבר של בריטניה הציע לארגונים שלא יכלו לתקן מיד להוציא מהשירות מערכות פגיעות במקום זאת, על פי דיווח Help Net Security.
הממצאים הללו דורגים בין הליקויים החמורים ביותר שגובשו ב-PHP, ואולי בהיסטוריה של התוכנה.
דירוג חומרה וההנחיה למנהלי אתרים
מפתחי PHP דירגו את שני הליקויים 9.2 מתוך 10 בסולם CVSS v4.0, ניקוד "קריטי", על פי הודעת watchTowr. נתיב הסיוע הברור, על פי הודעת PHP ו-watchTowr, הוא שדרוג ל-PHP 8.5.12, 8.4.27, 8.3.36 או 8.2.35 בהתאם לענף שהשרת מריץ; אתרים ב-7.4, 8.0 או 8.1 צריכים להשתמש בתיקון חלוקה או לעבור לענף שנתמך, בעוד שרתים ב-7.3 או יותר ישן אין להם תיקון זמין וצריכים שדרוג.
שאלות
- מה זה PHP2Shell?
- PHP2Shell הוא שם כינוי לשני ליקויי PHP קריטיים, CVE-2026-109618 ו-CVE-2026-109619, המאפשרים לתוקף ללא פרטי כניסה להריץ קוד בשרת רשת המריץ PHP פגיע.
- אילו גרסאות PHP פגיעות?
- גרסאות לפני 8.2.35, 8.3.36, 8.4.27 ו-8.5.12 פגיעות ויש להן תיקונים רשמיים. PHP 7.4, 8.0 ו-8.1 גם פגיעות; מכיוון שהענפים האלה אינם נתמכים, אין תיקון PHP ליבה רשמי, אם כי תיקוני ספק תמיכה ארוכי טווח או חלוקות Linux עשויים להיות זמינים, על פי watchTowr. PHP 7.3 ויותר ישן אין להם תיקון זמין כלל.
- האם PHP2Shell מנוצל בפעילות?
- כן. Help Net Security דיווחה שניסיונות ניצול הוכרו דרך honeypot של Amazon כבר ב-17 באוקטובר 2026, ו-watchTowr אמרה שרשת honeypot שלה שמה לב לניצול פעיל בעקבות שחרור התיקון ב-21 בא��קטובר.
- כמה אתרים יכולים להיות פגיעים?
- PHP נשארת אחת משפות צד שרת הנפוצות ביותר על הרשת, כולל אתרים הנבנים באמצעות WordPress, Drupal ו-Joomla, לכן לשני הליקויים יש טווח הגעה פוטנציאלי רחב, על פי watchTowr והתקציר בערך PHP2Shell ב-Wikipedia.
- כיצד מנהל אתר יכול לתקן זאת?
- הודעות PHP ו-watchTowr אומרות שהתיקון המלא היחיד הוא שדרוג לגרסה מתוקנת - 8.5.12, 8.4.27, 8.3.36 או 8.2.35 בהתאם לענף - מכיוון שאין שינוי קונפיגורציה סוגר לחלוטין את הליקויים. אתרים בענפים שאינם נתמכים (7.4, 8.0, 8.1 או 7.3 ויותר ישן) צריכים להשתמש בתיקוני ספק בהם זמינים או לשדרג לענף שנתמך.
מקורות
כתבה זו הוכנה בעזרת בינה מלאכותית ועברה בדיקת מקורות אוטומטית לפני הפרסום. אם ראיתם טעות, בקשו תיקון. בקשת תיקון או זכות תגובה · איך אנחנו עובדים
כתבות קשורות
טכנולוגיההשוואה
PlayStation 5 Pro מול מחשב גיימינג תואם: השוואת מחיר וביצועים
Sony השיקה את PlayStation 5 Pro במחיר של 699.99 דולר בנובמבר 2024, אך על פי דיווחי Engadget, מחירו בארה"ב טיפס לכ-900 דולר עד אפריל 2026, והערכת SlashGear מאוקטובר 2026 משיימה אותו קרוב ל-1,580 דולר. מחשב שנבנה סביב ה-GPU וה-CPU שמדחסים חושבים שקרוב ביותר לקונסול עולה בעלות של בערך 1,050 עד 1,530 דולר בהתאם לחלקים שנבחרו, על פי בדיקות SlashGear ו-BGR.
טכנולוגיהידיעה
שתי חולשות קריטיות ב-PHP בשם "PHP2Shell" חושפות את רוב האינטרנט
שתי חולשויות קריטיות ב-PHP בשם "PHP2Shell" מאפשרות לתוקפים להריץ קוד זדוני על שרתי אינטרנט ללא כניסה, על פי חברת הביטחון שגילתה אותן. תיקונים עבור CVE-2026-109618 ו-CVE-2026-109619 נשלחו ב-21 באוקטובר 2026, חודשים לאחר שחוקרים דיווחו לראשונה על הבאגים, וחברות מרובות תיעדו מאז ניסיונות ניצול בטבע.
טכנולוגיהרשימה
אפליקציות וכלים הטובים ביותר של Android שתוכלו להשיג מחוץ ל-Google Play Store
משתמשי Android אינם מוגבלים ל-Google Play: מאגר קוד פתוח F-Droid, לקוח Google Play אנונימי Aurora Store, עוקב עדכונים Obtainium, וקטלוג מבוסס Shizuku בשם ShizuStore כולם מפיצים אפליקציות שהחנות הרשמית אינה מפרסמת או מאפשרת. הנה תשע חנויות וכלים ראויים לדעת, בהתאם לרישומים שלהם וגזירה מ-MakeUseOf ו-Pocket-lint.
טכנולוגיהמאמר
PHP2Shell: שני הליקויים הקריטיים ב-PHP שאילצו ממשלות להשבית אתרים
PHP2Shell הוא הכינוי לשני ליקויים קריטיים ללא-אימות להוצאת קוד מרחוק בשפת התכנות PHP — CVE-2026-109618 ו-CVE-2026-109619 — שהוגלו ב-20–21 באוקטובר 2026. מכיוון ש-PHP מפעילה חלק גדול מאוד מאתרי האינטרנט בעולם, הליקויים הובילו כמה ממשלות לשם אתרים ציבוריים בשיקול דעת מזהיר. התיקון הרשמי הוא שדרוג PHP; קיימות הפחתות זמניות בצד השרת, אך קורא בודד לא יכול לעשות דבר מעבר למעקב אחר הודעות הפרה ושימוש בסיסמאות חזקות וייחודיות.