לדלג לתוכן

PHP2Shell

מתוך ויקיפדיה, האנציקלופדיה החופשית

PHP2Shell הן זוג פרצות אבטחה בעלות השפעה גבוהה (CVE-2026-109618[1] ו־ CVE-2026-109619[2]) בשפה PHP בגרסאות 5.4–8.5 המאפשרות הרצת קוד מרחוק (RCE). מפתחי השפה הכריזו על קיומן בפומבי ב־20 באוקטובר 2026.[3] תיקון חירום לגרסאות 8.2, 8.3, 8.4 ו־8.5 ופרטים על הפגיעויות פורסמו למחרת.[4]

גילוי

[עריכת קוד מקור | עריכה]

גרסאות PHP החל מגרסה 5.4 (שהופצה ב־2012)[5] חשופות לפגיעויות אלו. אף שמומחים העלו חששות בנוגע לבאגים של בטיחות זיכרון כבר עשרות שנים קודם לכן, מפתחי השפה לא נקטו כל פעולה בזמנו משום שלא סברו כי פיתוח אקספלויט פעיל הוא בר ביצוע[6][7]. מפתח ליבה של PHP גילה את שגיאת חריגת הזיכרון (Out-of-memory) שעומדת מאחורי אחת הפגיעויות במהלך מבדק קוד בשנת 2024, אך הבאג מעולם לא תוקן; צוות הפיתוח לא הצליח להגיע להסכמה כיצד לתקנו, ומאחר שטרם התגלה אקספלויט קונקרטי, צוות הפיתוח לא תעדף את הנושא[8][9].

שני גורמים גילו את הפגיעויות באופן בלתי תלוי: ראיין אוסטין, חוקר בחברת האבטחה Calif שבקליפורניה[10], במסגרת פרויקט "Patch the Planet" של OpenAI באוגוסט 2026, וחברת אבטחת הענן הישראלית-אמריקאית Wiz, חברה בת של אלפאבית וחלק מ־Google Cloud[7]. אוסטין נעזר במודל GPT-5.6 Sol של OpenAI למציאת הפגיעות[7]. חוקרי Wiz השתמשו במודלי השפה הגדולים Gemini 4 Argon ו-GPT-5.6 Sol, לצד הכלי הפנימי שלהם, Wiz Atlas, כדי לסייע במחקרם[11].

מפתחי PHP דירגו את הפגיעות בציון חומרה של 9.2 (קריטית) מתוך 10 לפי תקן CVSS בגרסה 4.0[12], ואילו חברת האבטחה watchTowr דירגה אותה בציון המרבי של 10.0[13].

תיקון החירום

[עריכת קוד מקור | עריכה]

מתחזקי PHP הפיצו גרסאות מתוקנות של PHP 8.2, 8.3, 8.4 ו־8.5 (גרסאות 8.2.35, 8.3.36, 8.4.27 ו-8.5.12)[4]. טלאים לקוד המקור הופצו גם עבור גרסאות 7.4, 8.0 ו־8.1, אך לא הופצו עבורן קבצים מעודכנים רשמיים מאחר שהגיעו לסוף מחזור חייהן (End of life)[4]. כמו כן פורסמו מעקפים זמניים לצמצום הסיכון (Mitigations), אך המתחזקים הבהירו כי אין מעקף מלא לבעיה וכי עדכון הגרסה הוא האפשרות הבטוחה היחידה[4]. שתי הפגיעויות פורסמו דרך דיווחי האבטחה של GitHub ב־21 באוקטובר 2026 בשעה 13:34 (UTC)[14][15], 26 דקות לפני מועד ההפצה הרשמי שנקבע, ואתר PHP עודכן זמן קצר לאחר מכן[דרוש מקור].

מתחזקי PHP הכריזו על העדכון מוקדם מהצפוי ובטרם הפצתו, לאחר שמידע על הפגיעויות דלף ב־20 באוקטובר בפורומים של Hacker News[16], בפוסט ברשת החברתית X של חברת אבטחת המידע watchTowr labs, ובסרטון הוכחת היתכנות (PoC) של ניצול הפרצה שהפיצה בטעות חברת Calif[17][7][8]. ההודעה המוקדמת באתר PHP.net קראה למשתמשים להיערך ולעדכן מיד עם צאת הטלאי[4]. חברת האבטחה Sansec העריכה כי "מתקפות המוניות יחלו בתוך 15 דקות מהפצת העדכון"[18]. קודי הוכחת היתכנות לניצול הפרצה, ניתוחים טכניים ומעקפים חלקיים החלו להתפשט באינטרנט עוד לפני תום האמברגו, לאחר שפלטפורמת הפיתוח Chainguard הפיצה גרסאות מתוקנות של התוכנה מוקדם מהמועד, וכך יכלו תוקפים לאתר אילו שורות קוד שונו[13][19][8].

צוות מודיעין האיומים של אמזון זיהה ניסיון ניצול של PHP2Shell כבר ב-17 באוקטובר 2026 בטלמטריית מערכת MadPot, ארבעה ימים לפני החשיפה הפומבית[20]. חברת Cloudflare דיווחה על סימנים לניצול מוקדם של הפרצה בטרם הפצת הטלאי הפומבי, ופרסה חוקים זמניים בחומת אש ליישומי רשת (WAF) כניסיון בלימה ראשוני נגד הפגיעות[21][22][23]. חברת האבטחה watchTowr מסרה כי הבחינה בניצול פעיל של הפרצה עד 21 באוקטובר באמצעות רשת מלכודת הדבש (Honeypot) שלה[24], ואילו הסוכנות לאבטחת סייבר ותשתיות של ארצות הברית (CISA) מסרה כי נכון לאותו יום טרם זיהתה ניצול פעיל בשטח[25].

השפעה

[עריכת קוד מקור | עריכה]
אזהרה שפורסמה בויקיפדיה האנגלית בדבר השבתת כלים קהילתיים עקב תקרית PHP2Shell

כ־69% מאתרי האינטרנט עושים שימוש ב־PHP, לרבות אתרים המבוססים על מערכות ניהול תוכן כגון דרופל, ג'ומלה ו-וורדפרס, ולכן ההשפעה הפוטנציאלית הייתה רחבת היקף[25][26]. שפת PHP משולבת גם בהתקני חומרה ייעודיים של ספקים שונים, בממשקי ניהול של שירותי אירוח אתרים כגון cPanel ו-Plesk, ובחלק מיישומי Windows[27].

לאחר פרסום המלצות של צוות התגובה לאירועי סייבר של האיחוד האירופי (CERT-EU) ומרכז אבטחת הסייבר הלאומי של בריטניה (NCSC), הורידו ארגונים רבים ברחבי אירופה את אתרי האינטרנט שלהם מהאוויר ליתר ביטחון בזמן ההמתנה לטלאי האבטחה. בין היתר הושבתו הפורטל הממשלתי של הולנד (Overheid.nl), הפלטפורמה הלאומית לתקשורת בבתי הספר בדנמרק, כלל שירותי הרשת הציבוריים של ממשלת פינלנד, וכל אתרי האינטרנט של משרד הפנים של צרפת[11][26][28][29]. הסוכנות לביטחון לאומי של ארצות הברית (NSA) המליצה להשבית אתרים באופן יזום אם אין אפשרות לעדכנם באופן מיידי[6][30]. מרכז אבטחת הסייבר הלאומי של בריטניה פרסם אזהרה דומה וקרא לארגונים לגלות ערנות מפני שתילת דלת אחורית במערכותיהם[31]. משרד אבטחת הסייבר הלאומי של יפן הנחה אף הוא משתמשי PHP לעדכן את מערכותיהם באופן מיידי[32].

קרן ויקימדיה השביתה רבים משירותי התמיכה שלה, ואתרי הפורומים 4chan ו-Something Awful ירדו מהאוויר[25][33][6]. חלקים מרשת האינטרנט ביפן הושבתו גם כן, בהם משחקים כגון Umamusume: Pretty Derby, Granblue Fantasy ו-Princess Connect! Re:Dive, וכן אתרי מסחר אלקטרוני רבים[32][33]. ארכיון האינטרנט הושבת לזמן קצר לצורך תיקון התקלה[34].

ניתוח

[עריכת קוד מקור | עריכה]

חוקרים בחברת Wiz ציינו כי חומרת הפרצה משתווה לזו של Heartbleed, פרצת אבטחה משנת 2014 שהשפיעה על ספריית הצפנה שהייתה בשימוש של כשני שלישים מאתרי האינטרנט באותה עת[35]. בפרשנות שפורסמה בעיתון "הגרדיאן" צוין כי קרן PHP (The PHP Foundation), המתחזקת את שפת PHP, מעסיקה רק 13 עובדים במשרה מלאה וחלקית ונשענת על תרומות כספיות, בעוד שמחקר הבינה מלאכותית, שלו יוחס הסיוע בגילוי הפגיעות, זוכה להשקעות של "מיליארדים"[36]. בסיקור ב"הניו יורק טיימס" תוארה PHP כשפה "נפוצה בכל מקום" והעריכו כי המידע האישי של "משתמשים מן השורה" עלול לעמוד בסיכון[37].

ראו גם

[עריכת קוד מקור | עריכה]

קישורים חיצוניים

[עריכת קוד מקור | עריכה]
ויקישיתוף מדיה וקבצים בנושא PHP2Shell בוויקישיתוף

הערות שוליים

[עריכת קוד מקור | עריכה]
  1. ↑ "CVE-2026-109618". Mitre.
  2. ↑ "CVE-2026-109619". Mitre.
  3. ↑ "PHP: News Archive - 20 Oct 2026". www.php.net (באנגלית). 2026-10-20.
  4. 1 2 3 4 5 "PHP: News Archive - 21 Oct 2026". www.php.net (באנגלית). 2026-10-21.
  5. ↑ "PHP: Releases". www.php.net (באנגלית).
  6. 1 2 3 Kan, Michael (21 באוקטובר 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMAG (באנגלית).
  7. 1 2 3 4 McMillan, Robert (21 באוקטובר 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". Wall Street Journal.
  8. 1 2 3 Constantin, Ana Maria (21 באוקטובר 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web.
  9. ↑ "Today's PHP Security Release, and How We're Strengthening PHP Security". thephp.foundation (באנגלית).
  10. ↑ Volz, Dustin (8 בספטמבר 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times.
  11. 1 2 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (2026-10-21). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (באנגלית).
  12. ↑ "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". news-web.php.net.
  13. 1 2 Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". BleepingComputer (באנגלית אמריקאית).
  14. ↑ "RCE via OOM corruption". 2026-10-21.
  15. ↑ "RCE via stale global state". 2026-10-21.
  16. ↑ "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming". news.ycombinator.com (באנגלית). אורכב מ-המקור ב-2026-10-21.
  17. ↑ Khandelwal, Swati (21 באוקטובר 2026). "PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert". The Hacker News (באנגלית).
  18. ↑ Goodin, Dan (2026-10-20). "PHP warns it plans to release 2 emergency patches imminently". Ars Technica (באנגלית). ארכיון מ-2026-10-21.
  19. ↑ "Only for the curious..." jackalsyn.com.
  20. ↑ "Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | AWS Security Blog". aws.amazon.com. 2026-10-21.
  21. ↑ Gatlan, Sergiu (2026-10-21). "PHP ships emergency patches for critical PHP2Shell flaws". BleepingComputer (באנגלית אמריקאית).
  22. ↑ "Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits". PC Gamer (באנגלית). 2026-10-21.
  23. ↑ Knecht, Dane (21 באוקטובר 2026). "Dane Knecht 🦭 (@dok2001) on X". X (formerly Twitter).
  24. ↑ "PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619". watchTowr (באנגלית). 2026-10-20.
  25. 1 2 3 Collier, Kevin (21 באוקטובר 2026). "Critical vulnerabilities in commonly used web code spark rush to update systems". NBC News (באנגלית).
  26. 1 2 Gerkin, Tom (21 באוקטובר 2026). "Websites taken down worldwide as critical PHP cyber-security update issued". BBC News.
  27. ↑ Hammond, John (2026-10-21). "Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)". Huntress (באנגלית).
  28. ↑ Van Dessel, Josse (21 באוקטובר 2026). "Major websites go offline as critical PHP vulnerability triggers security fears". The Brussels Times (באנגלית).
  29. ↑ "Critical security issue affecting PHP" (הודעה לעיתונות). National Cyber Security Centre. 21 באוקטובר 2026.
  30. ↑ "NSA Advisory: PHP Updates". NSA Press Room. 21 באוקטובר 2026. Effective immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities.
  31. ↑ Booth, Robert; Down, Aisha (21 באוקטובר 2026). "Flaw in PHP computer language leads to shutdown of websites around world". The Guardian.
  32. 1 2 "著名ITサービス相次いで緊急メンテへ　コドモン、シャドバ、BASE、さくらのレンタルサーバなど　「PHP」脆弱性に起因か" [Several prominent IT services—including Codmon, Shadowverse, BASE, and Sakura Rental Server—have initiated emergency maintenance, likely due to a vulnerability in PHP] (ביפנית). ITmedia. 21 באוקטובר 2026.
  33. 1 2 Tauber, Olivia (2026-10-21). "PHP vulnerability: Which websites and services are affected?". Mashable (באנגלית).
  34. ↑ Smith, Paul; Mizen, Ronald (2026-10-21). "AI just discovered a bug putting 70pc of world's websites at risk". Australian Financial Review (באנגלית).
  35. ↑ Eadicicco, Lisa (21 באוקטובר 2026). "Global websites shut down after AI found a critical flaw affecting 70% of the internet | CNN Business". CNN (באנגלית).
  36. ↑ Taylor, Josh (22 באוקטובר 2026). "What is PHP, and how bad is the computer language flaw causing website shutdowns globally?". The Guardian.
  37. ↑ Adam, Karla; Volz, Dustin (2026-10-22). "What Is PHP? Why Are Government and Business Websites Going Offline?". The New York Times (באנגלית אמריקאית). ISSN 0362-4331.
אוחזר מתוך "https://he.wikipedia.org/w/index.php?title=PHP2Shell&oldid=44117828"