AnswersPublished23 sources
PHP2Shell: שתי חולשות קריטיות ב-PHP — ומה צריך לעדכן עכשיו
PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שדורגו 9.2 מתוך 10 לפי CVSS v4.0 ועלולות לאפשר הרצת קוד מרחוק ללא אימות. העדכונים לגרסאות PHP 8.2–8.5 זמינים.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שדורגו 9.2 מתוך 10 לפי CVSS v4.0 ועלולות לאפשר הרצת קוד מרחוק ללא אימות.
- העדכונים לגרסאות PHP 8.2–8.5 זמינים. מערכות ישנות או לא נתמכות צריכות לבדוק מול ספק ההפצה שלהן איזה תיקון מתאים.
- דווחו ניסיונות תקיפה, ובהם פעילות שנצפתה במלכודת דבש לפני הפרסום; אין בכך כשלעצמו הוכחה שמערכת אמיתית נפרצה.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell הוא הכינוי לשתי חולשות קריטיות בליבת זמן הריצה של PHP: CVE-2026-109618 ו-CVE-2026-109619. שתיהן קיבלו ציון 9.2 — רמת חומרה קריטית — לפי CVSS v4.0, ועלולות לאפשר לתוקף שלא התחבר לשרת להריץ בו קוד. צוות PHP פרסם תיקוני חירום ב-21 באוקטובר 2026. 
הצעד החשוב ביותר למפעילי שרתים הוא לעדכן את PHP. דיווחים על ניסיונות ניצול, ובהם תצפית במלכודת הדבש של Amazon עוד לפני הפרסום לציבור, מצדיקים פעולה מהירה. עם זאת, הם אינם מוכיחים שתוקף חדר למערכת ייצור. 36
מה עושות שתי החולשות?
לפי הדיווחים, לכל חולשה מנגנון שונה:
- CVE-2026-109618 קשורה לטיפול במחסור בזיכרון. מצב של אזילת זיכרון עלול לקטוע את העיבוד כשנתונים פנימיים של הבקשה עדיין מאותחלים רק בחלקם. במהלך ניקוי הנתונים, PHP עלולה להתייחס למידע לא תקין כאילו הוא תקין.
58
- CVE-2026-109619 קשורה למצב פנימי שנותר אחרי שחרור הזיכרון. לפי הדיווחים, נתונים הקשורים לבקשה עלולים להישאר בשימוש לאחר שהזיכרון ששימש לאחסונם שוחרר — בעיית use-after-free.
9
החולשות נוגעות לאופן שבו PHP מטפלת בבקשות HTTP שנבנו במיוחד, ובהן בקשות מסוג multipart/form-data — פורמט נפוץ להעלאת קבצים. 1
למה הציון הוא 9.2 — ומה הוא לא אומר
שתי החולשות מדורגות 9.2 מתוך 10, קריטיות, לפי CVSS v4.0. אחת הסיבות לסיכון הגבוה היא האפשרות להריץ קוד מרחוק ללא אימות: התוקף לא צריך להתחבר לחשבון כדי לנסות להפעיל קוד בשרת פגיע.
המקורות הזמינים כאן אינם כוללים את וקטורי ה-CVSS המלאים, ולכן אי אפשר לפרט במדויק כיצד כל רכיב בחישוב הוביל לציון 9.2. הציון מתאר את חומרת החולשה; הוא אינו קובע מה הסיכוי ששרת מסוים יותקף, ואינו מעיד שניסיון תקיפה שנצפה הצליח.
אילו גרסאות נפגעו ואילו עדכונים להתקין?
בדיווחים מתואר טווח גרסאות פגיע שמתחיל ב-PHP 5.4. 55 גרסאות התיקון לשחרורי PHP 8.x הן:
| ענף PHP | גרסה מתוקנת |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
הגרסאות האלה פורסמו ב-21 באוקטובר 2026. יש לשדרג לגרסה המתוקנת המתאימה לענף שלכם, או לגרסה מאוחרת יותר באותו ענף.
התיקונים המפורטים מכסים את ענפים 8.2 עד 8.5. אם המערכת שלכם מבוססת על ענף ישן יותר או על גרסה שאינה נתמכת, בדקו מול מפיץ PHP או ספק מערכת ההפעלה אם קיים תיקון מתאים ומהן הנחיות השדרוג. אל תניחו שאחת הגרסאות בטבלה מתאימה ישירות למערכת שלכם.
ניסיונות תקיפה אינם בהכרח פריצות
החולשות נחשפו לציבור ב-20 באוקטובר, לפני מועד חשיפה מתוכנן ל-22 באוקטובר. PHP פרסמה את תיקוני החירום יום לאחר מכן, ב-21 באוקטובר. 8
42 המקורות תומכים בתיאור ההקדמה של הפרסום ובשחרור המוקדם של התיקונים, אך אינם מוכיחים שסרטון הדגמה שפורסם בטעות על ידי Calif הוא שהוביל לכך.
Amazon Threat Intelligence דיווחה שזיהתה במידע הטלמטרי של מלכודת הדבש MadPot ניסיון לנצל את PHP2Shell מ-17 באוקטובר — ארבעה ימים לפני הפרסום לציבור. Amazon דיווחה גם על זיהוי של קוד הוכחת היתכנות (PoC) סביב מועד שחרור התיקונים ב-21 באוקטובר. פעילות שנצפתה במלכודת דבש מלמדת שמישהו כיוון ניסיון למערכת דמה, ולא מאשרת חדירה לארגון אמיתי.
Cloudflare מסרה שפרסה הגנות סביב מועד החשיפה, ודיווחים מאותה תקופה תיארו תעבורת תקיפה או ניסיונות שנצפו בידי חברות אבטחה. 55
35 הדיווחים על היקף הניצול ועל הצלחתו לא היו אחידים: חלק מהספקים טענו לניצול פעיל או נרחב, ואילו דיווחים אחרים מאותה תקופה ציינו שסוכנויות ממשלתיות לא אישרו תקיפות מוצלחות.
33
36
המסקנה הסבירה היא להתייחס ברצינות לניסיונות התקיפה — בלי לבלבל בינם לבין חדירה מוצלחת או להסיק שהתקיפות היו נרחבות. חשוב להבחין בין ניסיון, ניצול מוצלח של חולשה ופריצה מאומתת למערכת ייצור.
מה לעשות בזמן שמתקינים את התיקון?
התקנת גרסת PHP המתוקנת היא הפתרון העיקרי. לפי AWS, שדרוג הוא הדרך היחידה לתיקון מלא. אם אי אפשר לעדכן מיד, אפשר לשקול צעדים זמניים לצמצום החשיפה, כגון חסימת העלאות קבצים מסוג multipart — אך הם אינם תחליף לעדכון.
מרכז הסייבר של קנדה פרסם התרעה קריטית על החולשות ועל הסיכון להרצת קוד ללא אימות. 2 המקורות הזמינים מדווחים גם על המלצה של NSA להוציא מערכות משימוש אם אי אפשר לעדכן אותן מיד.
27 אם PHP כלולה במוצר או מנוהלת בידי ספק אחסון, פעלו לפי ההנחיות הרלוונטיות של הספק ושל הרשויות.
השורה התחתונה פשוטה: לאתר היכן PHP פועלת, להתקין את התיקון המתאים ולבדוק התראות בזהירות. חומרת PHP2Shell מצדיקה פעולה דחופה — אבל ניסיון תקיפה, ניצול מוצלח ופריצה מאומתת לשרת אמיתי הם שלושה דברים שונים.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: שתי חולשות קריטיות ב-PHP — ומה צריך לעדכן עכשיו"?
PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שדורגו 9.2 מתוך 10 לפי CVSS v4.0 ועלולות לאפשר הרצת קוד מרחוק ללא אימות.
What are the key points to validate first?
PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שדורגו 9.2 מתוך 10 לפי CVSS v4.0 ועלולות לאפשר הרצת קוד מרחוק ללא אימות. העדכונים לגרסאות PHP 8.2–8.5 זמינים. מערכות ישנות או לא נתמכות צריכות לבדוק מול ספק ההפצה שלהן איזה תיקון מתאים.
What should I do next in practice?
דווחו ניסיונות תקיפה, ובהם פעילות שנצפתה במלכודת דבש לפני הפרסום; אין בכך כשלעצמו הוכחה שמערכת אמיתית נפרצה.