AnswersPublished24 sources
PHP2Shell חשף את הפער בין התלות בקוד פתוח לבין המשאבים לאבטח אותו
PHP פרסמה ב 21 באוקטובר 2026 עדכונים לשתי חולשות קריטיות שאפשרו, בתנאים מסוימים, הרצת קוד מרחוק ללא אימות; ציון החומרה של כל אחת מהן היה 9.2. PHP משמשת, לפי דיווחים, עד כ 70% מהאתרים.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP פרסמה ב 21 באוקטובר 2026 עדכונים לשתי חולשות קריטיות שאפשרו, בתנאים מסוימים, הרצת קוד מרחוק ללא אימות; ציון החומרה של כל אחת מהן היה 9.2.
- PHP משמשת, לפי דיווחים, עד כ 70% מהאתרים. הנתון מתאר את היקף השימוש — לא את מספר האתרים שנפרצו או שנותרו פגיעים.[11]
- האירוע המחיש שגילוי חולשות אינו מספיק: נדרשים גם משאבים לבדיקת הממצאים, לתיאום חשיפה, לשחרור תיקונים ולהתקנתם.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell היה תמרור אזהרה לגבי אבטחת תוכנה שנמצאת בשימוש נרחב — וגם לגבי העבודה והמשאבים הדרושים כדי לשמור עליה בטוחה. באוקטובר 2026 שתי חולשות קריטיות ב-PHP הובילו לשחרור תיקוני חירום. לפי דיווחים, השפה משמשת עד כ-70% מהאתרים.11 במקביל, האירוע חידד שאלה רחבה: האם לפרויקטים של קוד פתוח יש מספיק יכולת לבדוק, לתקן ולתחזק תוכנה שחלק גדול מהרשת תלוי בה?
22
מה קרה בפרשת PHP2Shell
החולשות, CVE-2026-109618 ו-CVE-2026-109619, עלולות לאפשר לתוקף שאינו מחובר למערכת להריץ קוד מרחוק בשרת PHP פגיע. לכל אחת מהן ניתן ציון חומרה 9.2.9
17 מדובר בפגמים בליבת סביבת הריצה של PHP; עצם גילויים אינו מעיד שכל יישום שנכתב בשפה אינו מאובטח.
ב-21 באוקטובר 2026 פרסמה PHP גרסאות מתוקנות: 8.5.12, 8.4.27, 8.3.36 ו-8.2.35.18
27 לפי תיאור המחקר של Calif, הגילוי נעשה בידי Calif, OpenAI ו-Wiz.
15 בדיווחים על האירוע תואר גם כשל בתהליך החשיפה המתואמת: תחזוקת PHP האשימו את Chainguard בפרסום מידע לפני המועד המתוכנן, ובעקבות זאת הפרויקט שחרר את התיקונים מוקדם.
35
37
היקף השימוש ב-PHP מסביר מדוע התיקונים עוררו דחיפות. דיווחים העריכו שהשפה משמשת עד 70% מהאתרים, אך זהו אומדן של תפוצת PHP — לא ספירה של אתרים פגיעים או שנפרצו.11 כמו כן, המקורות הזמינים אינם מבססים את הטענה הספציפית שלפיה ה-EFF העריכה שיותר מ-33 מיליון מערכות נותרו פגיעות ב-23 באוקטובר.
ניסיונות תקיפה אינם הוכחה לפריצה מוצלחת
לפי דיווחים, אמזון זיהתה ניסיון לנצל את החולשות ב-17 באוקטובר, לפני פרסום התיקונים, ובהמשך תיארה ניסיונות תקיפה נרחבים.34 דיווחים נוספים תיארו מיליוני ניסיונות.
6 בנפרד, פורסם כי ארגונים השביתו שירותים כאמצעי זהירות בזמן שטיפלו בחולשות — בין היתר שירותים הקשורים למשרד האוצר של יפן ולנמל רוטרדם.
12
עם זאת, ניסיון לנצל חולשה אינו זהה לפריצה שאושרה. דיווח של BBC מ-22 באוקטובר מסר שלא דווח עד אז על ניצול מוצלח; גם Security Affairs דיווח ב-23 באוקטובר כי לא אושרה פריצה מוצלחת.9
31 ייתכן שהדיווחים משקפים חלונות זמן שונים או שימוש שונה במונח „ניצול”. המידע המצוטט כאן מצביע על פעילות תקיפה מדאיגה, אך אינו מוכיח שמיליוני מערכות נפרצו בהצלחה.
הלקח לאבטחת קוד פתוח: הגילוי הוא רק ההתחלה
PHP2Shell מראה שגם בפרויקטים ותיקים וחשובים אפשר למצוא פגמים בליבת התוכנה. אבל גילוי הוא רק שלב אחד: צריך לבדוק את הממצאים, לשחרר תיקון, ולאפשר למפעילי מערכות לזהות את הגרסאות הרלוונטיות ולהתקין אותו. Sovereign Tech הציגה במפורש את האירוע כחשיפה של פער מימון באבטחת קוד פתוח חיוני.22
לכן, השאלה אינה רק כמה חולשות מתגלות, אלא גם אם יש די כוח אדם ומשאבים לטפל בהן. יותר גילויים עלולים להגדיל את העומס על מתחזקי תוכנה ועל צוותי אבטחה, אבל עלייה מדווחת במספר החולשות לבדה אינה מוכיחה שהתוכנה נעשית פחות מאובטחת — או שבינה מלאכותית היא שגרמה לעלייה. גילוי של חולשה לא מספק, כשלעצמו, את הזמן והמומחיות הדרושים לאימות הממצא, לתיאום החשיפה או להפקת תיקון ולהתקנתו.
המסקנה הזהירה אינה ש-PHP אינה מאובטחת מעצם טבעה. היא שתוכנה המשמשת חלק גדול מהרשת זקוקה לבדיקה ולתחזוקת אבטחה מתמשכות, ושגילוי מהיר יותר הופך את העבודה הזו לדחופה עוד יותר.11
22
מה כדאי לעשות למי שמפעילים PHP
- למפות מערכות הפונות לאינטרנט. לזהות אילו שירותים משתמשים ב-PHP ולתעד את גרסת סביבת הריצה בפועל.
- להתקין את התיקון המתאים. לבחור בעדכון המתאים לענף ה-PHP שבשימוש, או לפעול לפי הנחיות מאומתות של ספק אם הוא זה שמתחזק את סביבת הריצה. PHP פרסמה גרסאות מתוקנות ב-21 באוקטובר.
18
27
- לוודא שהשירות אכן עודכן. לבדוק שתהליכי העבודה והשירותים הפעילים משתמשים בגרסה המתוקנת; הנחיות תפעוליות שפורסמו ממליצות להפעיל מחדש את תהליכי PHP לאחר העדכון.
32
- לדייק בדיווחים על האירוע. להבחין בין מערכות שנחשפו, ניסיונות תקיפה, פריצה שאושרה וטענות שלא אומתו. תעבורת תקיפה או השבתה כאמצעי זהירות אינן מוכיחות שמערכת נפרצה.
הלקח ארוך הטווח של PHP2Shell נוגע לשרשרת האבטחה כולה: גילוי, בדיקה, חשיפה מתואמת, שחרור תיקון והתקנתו — כולם חשובים. מימון התחזוקה שמאפשרת את השרשרת הזו הוא חלק מההגנה על תשתיות קוד פתוח חיוניות, לא תוספת שולית.22
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell חשף את הפער בין התלות בקוד פתוח לבין המשאבים לאבטח אותו"?
PHP פרסמה ב 21 באוקטובר 2026 עדכונים לשתי חולשות קריטיות שאפשרו, בתנאים מסוימים, הרצת קוד מרחוק ללא אימות; ציון החומרה של כל אחת מהן היה 9.2.
What are the key points to validate first?
PHP פרסמה ב 21 באוקטובר 2026 עדכונים לשתי חולשות קריטיות שאפשרו, בתנאים מסוימים, הרצת קוד מרחוק ללא אימות; ציון החומרה של כל אחת מהן היה 9.2. PHP משמשת, לפי דיווחים, עד כ 70% מהאתרים. הנתון מתאר את היקף השימוש — לא את מספר האתרים שנפרצו או שנותרו פגיעים.[11]
What should I do next in practice?
האירוע המחיש שגילוי חולשות אינו מספיק: נדרשים גם משאבים לבדיקת הממצאים, לתיאום חשיפה, לשחרור תיקונים ולהתקנתם.