AnswersPublished24 sources
PHP2Shell: שתי חולשות קריטיות, תיקוני חירום ושאלות שנותרו פתוחות
PHP פרסמה ב־21 באוקטובר 2026 תיקוני חירום לשתי חולשות PHP2Shell, לאחר שפרטים עליהן דלפו לפני מועד התיקון המתוכנן. החולשות קיבלו ציון CVSS של 9.2.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP פרסמה ב־21 באוקטובר 2026 תיקוני חירום לשתי חולשות PHP2Shell, לאחר שפרטים עליהן דלפו לפני מועד התיקון המתוכנן.
- החולשות קיבלו ציון CVSS של 9.2. לפי הדיווחים, Calif נעזרה ב־GPT 5.6 Sol, ו־Wiz השתמשה בין היתר ב־Wiz Atlas וב־Gemini 4 Argon בתהליך המחקר.
- המספרים שדווחו — כ־70% מהאינטרנט ומעל 22.6 מיליון מופעים חשופים — מתארים היקף אפשרי, לא מספר של שרתים שנפרצו בפועל.
- נרשמו ניסיונות ניצול לפני פרסום התיקונים, אך המקורות אינם מבססים פריצה נרחבת ומוצלחת.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
ב־21 באוקטובר 2026 פרסמה PHP תיקוני חירום לשתי חולשות בליבת השפה, שכונו יחד PHP2Shell. הן עלולות לאפשר לתוקף להריץ קוד בשרת מרוחק בלי להזדהות — תרחיש חמור במיוחד באתרים ובשירותים שמקבלים בקשות דרך האינטרנט. 5
פרטי החולשות נחשפו יום קודם למועד הפרסום המתוכנן, 22 באוקטובר, ולכן התיקונים הוקדמו. האירוע הוביל להנחיות דחופות ולבדיקות בהיקף רחב, אבל חשוב להבחין בין שרתים שעלולים להיות פגיעים, ניסיונות ניצול ופריצות שאושרו: הנתונים שסופקו אינם מוכיחים שהתרחשה פריצה מוצלחת בהיקף נרחב. 2
7
24
איך נמצאו החולשות — ומה תפקיד ה־AI
החולשות, CVE-2026-109618 ו־CVE-2026-109619, דווחו לאחר מחקר של Calif ושל Wiz. לפי הדיווחים, Calif השתתפה ביוזמת Patch the Planet של OpenAI והשתמשה ב־GPT-5.6 Sol; Wiz גילתה את הבעיות באופן עצמאי ותיארה שימוש ב־Wiz Atlas, ב־Gemini 4 Argon וב־GPT-5.6 Sol במהלך עבודת המחקר. 5
6
18
21
החולשה הראשונה קשורה לשיבוש זיכרון בעקבות מצב של מחסור בזיכרון (out of memory); השנייה קשורה למצב גלובלי מיושן שעלול להישאר בתהליך. שתיהן עשויות להוביל להרצת קוד מרחוק. דירוגן הוא 9.2 מתוך 10 לפי CVSS — מדד שמשקלל את חומרת החולשות, אך אינו מעיד בפני עצמו על מספר הפריצות שהתרחשו. 4
7
10
הדיווחים מצביעים על השפעה אפשרית בגרסאות PHP 5.4 עד 8.5. המשמעות היא שגם מערכות ותיקות עשויות להיות בסיכון, ובפרט כאלה שכבר אינן מקבלות עדכוני אבטחה שוטפים. 1
14
דליפת המידע ותיקוני החירום
פרטי החולשות פורסמו ב־20 באוקטובר, לפני מועד הפרסום המתוכנן למחרתיים. בעקבות החשיפה, צוות PHP הקדים את פרסום התיקונים ל־21 באוקטובר. 2
7
24
הגרסאות המתוקנות שפורסמו הן PHP 8.5.12, 8.4.27, 8.3.36 ו־8.2.35. צוות PHP המליץ לעדכן מיד התקנות שמשרתות בקשות רשת.
לפי הדיווחים, לא פורסמו חבילות עדכון רשמיות מקבילות עבור PHP 8.1 ומטה, שגרסאותיהן אינן מקבלות עוד תמיכה שוטפת בפרויקט. עם זאת, ספקי הפצות לינוקס או שירותי תמיכה ארוכת־טווח עשויים לספק תיקונים מותאמים משלהם, ולכן יש לבדוק גם מולם.
כמה מערכות עלולות להיות מושפעות?
PHP משמשת, לפי הערכה שצוטטה בדיווחים, כ־70% מהאינטרנט. Palo Alto Networks דיווחה על יותר מ־22.6 מיליון מופעים חשופים שעלולים להיות פגיעים ל־PHP2Shell. אלה אומדנים של חשיפה אפשרית — לא ספירה של מערכות שנפרצו או של אתרים שנפגעו בפועל. 23
ה־NSA המליצה למפות שירותים ותוכנות שמסתמכים על גרסאות PHP פגיעות ולתעדף התקנת תיקונים. גם CISA פרסמה קריאה לעדכון דחוף, וחברות כמו Google, AWS ו־Microsoft פרסמו הנחיות ללקוחות. 3
17
18
לפי דיווחים, חלק מהאתרים הורדו זמנית מהרשת בזמן שהמפעילים התקינו עדכונים. לא כל הפרטים על השבתות מסוימות או על השפעתן התפעולית זמינים במקורות שסופקו.
ניסיונות ניצול אינם הוכחה לפריצה
Amazon Threat Intelligence דיווחה על ניסיון ניצול שנצפה ב־17 באוקטובר — ארבעה ימים לפני החשיפה הציבורית. דיווחים נוספים תיארו ניסיונות לאחר מכן. אלה סימנים לכך שגורמים ניסו לבדוק או לנצל את החולשות, אך ניסיון אינו מעיד בהכרח שהצליח או ששרת ייצור נפרץ. 4
6
גם הערכות לגבי היקף הניצול השתנו: Sansec עדכנה ב־22 באוקטובר כי ניצול המוני נראה פחות סביר מכפי שהעריכה ביום פרסום התיקונים. על סמך המקורות שסופקו, אין בסיס לקבוע שהתרחשו פריצות מוצלחות בהיקף רחב. 10
אזהרה נוספת ב־23 באוקטובר
יומיים לאחר תיקוני החירום, PHP פרסמה אזהרה על נתיב נוסף ולא סביר להרצת קוד מרחוק, שזוהה כ־CVE-2026-115560. הסיכון תלוי בשילוב חריג של הגדרות ובאופן שבו היישום משנה את מטפל הסריאליזציה בזמן ריצה. עד לעדכון תיקון רגיל, PHP המליצה להגדיר session.upload_progress.enabled=0; יישומים שאינם משנים את מטפל הסריאליזציה בזמן ריצה יכולים להשאיר את התכונה מופעלת, לפי ההנחיה.
מה האירוע לא מוכיח
המקורות מתארים גילוי בסיוע AI ותגובה דחופה של מפתחים, חברות אבטחה וספקי תשתית. הם אינם מספקים מדידה שמאפשרת לקבוע אם AI סייע יותר לתוקפים או למגינים, או לאמת את כל הטענות שעלו סביב משאבי קרן PHP והטיפול הקודם בנושא. גם טענות על כלי לבדיקת גרסת PHP או על התחייבות כספית של OpenAI אינן מבוססות במידע שסופק.
באותה תקופה דווחו גם אירועי אבטחה נפרדים הקשורים ל־Node.js, ל־LiteLLM ול־eMudhra. אין במקורות בסיס לקבוע שהם נגרמו מ־PHP2Shell או קשורים אליו סיבתית.
המסקנה המעשית פשוטה: לאתר היכן פועלות מערכות PHP, לבדוק איזו גרסה מותקנת ולעדכן לגרסה מתוקנת או לתיקון שסיפק ספק המערכת. עצם החשיפה האפשרית מצדיקה פעולה מהירה — אבל אינה אומרת שכל מערכת חשופה כבר נפרצה. 17
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: שתי חולשות קריטיות, תיקוני חירום ושאלות שנותרו פתוחות"?
PHP פרסמה ב־21 באוקטובר 2026 תיקוני חירום לשתי חולשות PHP2Shell, לאחר שפרטים עליהן דלפו לפני מועד התיקון המתוכנן.
What are the key points to validate first?
PHP פרסמה ב־21 באוקטובר 2026 תיקוני חירום לשתי חולשות PHP2Shell, לאחר שפרטים עליהן דלפו לפני מועד התיקון המתוכנן. החולשות קיבלו ציון CVSS של 9.2. לפי הדיווחים, Calif נעזרה ב־GPT 5.6 Sol, ו־Wiz השתמשה בין היתר ב־Wiz Atlas וב־Gemini 4 Argon בתהליך המחקר.
What should I do next in practice?
המספרים שדווחו — כ־70% מהאינטרנט ומעל 22.6 מיליון מופעים חשופים — מתארים היקף אפשרי, לא מספר של שרתים שנפרצו בפועל.