AnswersPublished33 sources
PHP2Shell: שתי חולשות חמורות ב-PHP — ומה צריך לעשות עכשיו
PHP2Shell הוא שם לשתי חולשות חמורות בניהול הזיכרון של PHP, שעלולות בתנאים מתאימים לאפשר לתוקף להריץ קוד מרחוק בלי להתחבר. יש לעדכן את סביבת PHP שמשרתת בקשות אינטרנט, או להתקין תיקון מאומת מהספק — ואז לוודא שהשירות אכן פועל עם הגרסה המתוקנת.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP2Shell הוא שם לשתי חולשות חמורות בניהול הזיכרון של PHP, שעלולות בתנאים מתאימים לאפשר לתוקף להריץ קוד מרחוק בלי להתחבר.
- יש לעדכן את סביבת PHP שמשרתת בקשות אינטרנט, או להתקין תיקון מאומת מהספק — ואז לוודא שהשירות אכן פועל עם הגרסה המתוקנת.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell הוא הכינוי לשתי חולשות קריטיות בסביבת הריצה של PHP: CVE-2026-109618 ו־CVE-2026-109619. בתנאים מתאימים, הן עלולות לאפשר לתוקף שלא עבר אימות להריץ קוד בשרת. ב־21 באוקטובר 2026 פרסמה PHP תיקונים בגרסאות 8.2.35, 8.3.36, 8.4.27 ו־8.5.12.5
36 המשימה הדחופה למפעילי אתרים היא לעדכן את סביבת ה-PHP שמטפלת בבקשות — או להתקין תיקון מתאים מספק המוצר — ולוודא שהעדכון נכנס לתוקף.
מה עושות שתי החולשות?
שתיהן קשורות לבטיחות הזיכרון בתוך PHP עצמה, ולא בהכרח לקוד של אתר מסוים. לפי המחקר, מסלולי התקיפה מערבים שימוש בזיכרון שכבר שוחרר או שאינו תקף, במהלך פעולות של סביבת הריצה.6
9
- CVE-2026-109618 קשורה לשימוש בזיכרון לאחר ששוחרר, במסגרת הטיפול של PHP בהתקדמות העלאת קבצים. לפי Wiz, בתנאים שהודגמו היא עלולה לחשוף זיכרון של תהליך PHP, ובהמשך לתרום להשחתת זיכרון ולהרצת קוד.
6
- CVE-2026-109619 קשורה לטיפול בזיכרון בעת יצירת עקבות מחסנית אחרי שגיאה חמורה ול־OPcache. לפי הודעת PHP, מצב פנימי ישן עלול להישאר ולהיות מנוצל בבקשה מאוחרת יותר שמטופלת באותו תהליך עובד.
36
בדיווחים המצוטטים החולשות קיבלו ציון 9.2 בסולם CVSS.2
37 Wiz העריכה ש-PHP משמשת בערך 70% מהאינטרנט, אך זהו אומדן להיקף השימוש בטכנולוגיה — לא ראיה לכך ש-70% מהאתרים פגיעים באותה מידה או שנפרצו.
6
אילו גרסאות PHP הושפעו, ואילו תיקונים זמינים?
בדיווחים טווח הגרסאות הפגיעות מצוין כ-PHP 5.4 ועד 8.5.11.56 גרסאות PHP שבהן פורסמו התיקונים הן 8.2.35, 8.3.36, 8.4.27 ו־8.5.12.
36 אם המערכת משתמשת בגרסה ישנה או שאינה נתמכת, יש לבדוק עם מפיץ PHP או עם ספק המוצר אם קיים עדכון נתמך או תיקון שהותאם לאחור — ולא להניח שאפשר פשוט לשדרג לגרסה רגילה.
17
54
עדכון של חבילת PHP לבדו לא בהכרח מספיק: אתר או התקן עשויים לכלול סביבת PHP נפרדת ומוטמעת. חשוב לברר איזו התקנה מטפלת בפועל בבקשות האינטרנט, ולפעול לפי הוראות הספק עבור מוצרים שכוללים PHP.5
54
המחקר נעזר בכלי AI — אבל התזמון אינו חד-משמעי
המחקר מיוחס ל-Calif, ל-OpenAI ול-Wiz, ודיווחים על הגילוי מתארים גם סיוע של מודלי AI.4
16 עם זאת, הדיווחים אינם מסכימים על מועד תחילת המחקר: USA Today מתארת גילוי ראשוני של Calif ביולי וגילוי בלתי תלוי של Wiz באוגוסט, ואילו The Register מציין שהחוקרים עבדו על כך בין אוגוסט לספטמבר.
4
47 דיווחים נוספים מזכירים גם מודלים של Google, אך החומר הזמין אינו מפרט את תרומתו המדויקת של כל מודל או את מידת העצמאות של העבודה.
50
ההבחנה חשובה: המידע תומך בכך שהמחקר נעזר ב-AI, אך לא בטענה שמערכת AI גילתה, אימתה ותיקנה לבדה את שתי החולשות. לפי הדיווחים, חוקרים אנושיים ומתחזקי PHP היו חלק מתהליך הגילוי והתגובה.4
16
מה המשמעות של הקשר ל-PAN-OS?
Palo Alto Networks פרסמה הודעת אבטחה על ההשפעה של שתי חולשות ה-PHP על מוצריה, וביניהם משפחת מוצרי PAN-OS.34
35 עצם הופעת PAN-OS בהודעה אינה מוכיחה שכל התקנה שלו חשופה לאותו מסלול תקיפה כמו שרת אינטרנט שמריץ PHP. יש לבדוק את תצורת המוצר ואת התיקונים שסיפקה החברה.
מנהלי מערכת צריכים לבדוק את ההודעה העדכנית של Palo Alto Networks עבור המוצר וגרסת התוכנה הספציפיים שלהם, ולפעול לפי הוראות העדכון. אין להסתמך על לוחות זמנים של תיקוני חירום ממקורות צד שלישי כהוכחה שהתיקון זמין: אחד ממאגרי המעקב שמופצים בנושא מציין במפורש שהמידע על מצב התיקונים נוצר באמצעות AI ושיש לאמת אותו.21
דיווחים על ניסיונות תקיפה אינם הוכחה לפריצה
דיווחי מודיעין סייבר תיארו ניסיון ניצול שתועד ב־17 באוקטובר — לפני הפרסום הטכני הפומבי ולפני תיקוני PHP ב־21 באוקטובר.53 לפי Nextgov, בהמשך עלה היקף התעבורה שדווחה בידי Cloudflare מאלפי ניסיונות למיליונים.
22 הנתונים האלה מתייחסים לניסיונות תקיפה, ולא למספר השרתים שנפרצו בהצלחה.
הדיווחים על ניצול מוצלח אינם אחידים. ב־22 באוקטובר דיווח ה-BBC שלא היו באותה עת דיווחים על ניצול מוצלח.18 מאוחר יותר מסרה יחידת Unit 42 של Palo Alto Networks כי אינה יכולה לאשר שפעילות שקישרה בתחילה ל-PHP2Shell נגרמה מה-CVE-ים האלה, וחזרה בה מהעדכון הקודם שלה.
30 על סמך המידע הזמין כאן, דווח על ניסיונות ניצול, אך לא ברור אם היו פריצות מוצלחות שאפשר לייחס בוודאות ל-PHP2Shell.
לפי הדיווחים, ממשלות ועסקים השביתו זמנית שירותים מקוונים בזמן שהתכוננו להתקין תיקונים או התקינו אותם.26
51 השבתה כאמצעי זהירות אינה מעידה כשלעצמה על כך שהארגונים נפרצו.
צעדים מעשיים לארגונים ולבעלי אתרים
- מיפוי כל סביבות ה-PHP. בדקו אתרי אינטרנט, שרתי יישומים, קונטיינרים, סביבות אחסון והתקנים. בקשו מספק האחסון או השירות המנוהל לאשר באיזו סביבת ריצה מדובר ואיזה תיקון חל עליה.
- התקנת עדכון מאומת. השתמשו בגרסת PHP מתוקנת או בחבילה שספק המוצר אישר וכוללת את התיקונים. במכשירים ובמוצרים שבהם PHP מוטמעת, פעלו לפי הוראות ספק המוצר.
17
54
- בדיקת השירות הפעיל. ודאו שסביבת הריצה שמשרתת את האתר — ולא רק התקנה נפרדת של שורת הפקודה — עודכנה. בדקו שגם תהליכי העבודה והשירותים הנדרשים פועלים בגרסה המתוקנת.
- צמצום החשיפה אם אי אפשר לתקן מיד. הנחיות NSA ממליצות לתעדף תיקונים של ספקים, ולהשבית מערכת אם אי אפשר לעדכן אותה באופן מיידי.
25
- הפרידו בין תיקון לבדיקה. עדכון סוגר את החולשה, אבל אינו קובע אם הייתה חדירה קודם לכן. אם יש סיבה לחשוד בפגיעה, בדקו יומנים ופעילות מערכת רלוונטית.
אם אתם בעלי אתר אך אינכם מנהלים את השרת, פנו לספק האחסון או למנהל האתר ושאלו אם סביבת PHP עודכנה. אל תתקינו תיקונים שמגיעים בהודעות לא צפויות; השתמשו בהנחיות הרשמיות של הספק.
ההבחנה המרכזית פשוטה: מערכת יכולה להיות פגיעה, תוקף יכול לנסות לנצל אותה, והיא יכולה גם להיפרץ — אלה טענות שונות. עדכנו את סביבת הריצה הרלוונטית, בדקו מול הספק מה מצב התיקון במוצרים כמו PAN-OS, ובחנו חשד לחדירה בנפרד.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: שתי חולשות חמורות ב-PHP — ומה צריך לעשות עכשיו"?
PHP2Shell הוא שם לשתי חולשות חמורות בניהול הזיכרון של PHP, שעלולות בתנאים מתאימים לאפשר לתוקף להריץ קוד מרחוק בלי להתחבר.
What are the key points to validate first?
PHP2Shell הוא שם לשתי חולשות חמורות בניהול הזיכרון של PHP, שעלולות בתנאים מתאימים לאפשר לתוקף להריץ קוד מרחוק בלי להתחבר. יש לעדכן את סביבת PHP שמשרתת בקשות אינטרנט, או להתקין תיקון מאומת מהספק — ואז לוודא שהשירות אכן פועל עם הגרסה המתוקנת.