AnswersPublished22 sources
PHP2Shell: חולשות חמורות ב-PHP והגרסאות שכבר כוללות תיקון
PHP2Shell הוא הכינוי לשתי חולשות ב PHP, בדירוג חומרה 9.2, שעלולות לאפשר לתוקף לא מזוהה להריץ קוד בשרת פגיע. מזהי ה CVE נחשפו לפני מועד הפרסום המתוכנן, ו PHP פרסמה את הגרסאות המתוקנות ב 21 באוקטובר 2026.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP2Shell הוא הכינוי לשתי חולשות ב PHP, בדירוג חומרה 9.2, שעלולות לאפשר לתוקף לא מזוהה להריץ קוד בשרת פגיע.
- מזהי ה CVE נחשפו לפני מועד הפרסום המתוכנן, ו PHP פרסמה את הגרסאות המתוקנות ב 21 באוקטובר 2026.
- דווח על ניסיונות תקיפה, אך מספר הניסיונות שנצפו אינו מעיד כשלעצמו על פריצות מוצלחות.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell הוא הכינוי לשתי חולשות חמורות בליבת PHP: CVE-2026-109618 ו-CVE-2026-109619. שתיהן קיבלו ציון 9.2 לפי CVSS v4.0, ועלולות לאפשר לתוקף מרוחק להריץ קוד בשרת פגיע בלי להזדהות. PHP פרסמה תיקונים ב-21 באוקטובר 2026, לאחר שפרטים על החולשות הופצו לפני מועד החשיפה המתוכנן. בהמשך דווח על ניסיונות ניצול, אך ניסיון תקיפה אינו הוכחה לפריצה מוצלחת. 1
3
14
מה עושות חולשות PHP2Shell?
החולשות נמצאות בטיפול של PHP בבקשות ובניהול הזיכרון, ולא במסגרת פיתוח מסוימת או בקוד של אתר יחיד. CVE-2026-109618 קשורה לטיפול במצב של מחסור בזיכרון, ואילו CVE-2026-109619 קשורה למצב פנימי מיושן. לפי הדיווחים, ניצול שלהן עלול להוביל להרצת קוד מרחוק ללא אימות זהות. 1
14
לכן חשוב לבדוק את גרסת PHP עצמה, גם אם לא ידועה בעיית אבטחה בקוד האתר. הנחיות התפעול מציינות שכל התקנת PHP שמשרתת בקשות מהאינטרנט דורשת תשומת לב. 55
אילו גרסאות כוללות את התיקון?
PHP פרסמה גרסאות מתוקנות ב-21 באוקטובר 2026. אלה הגרסאות שצוינו:
שרתים שפועלים על גרסה מוקדמת יותר באחד הענפים האלה צריכים להתעדכן לגרסה המתוקנת המתאימה. לפי הדיווחים, פרטי החולשות פורסמו לפני מועד החשיפה שנקבע, והדבר הוביל להקדמת שחרור התיקונים. 3
13
33
איך נחשפו מזהי החולשות?
ב-20 באוקטובר הופיעה ב-Hacker News הודעה שהזכירה את שני מזהי ה-CVE וטענה שהפרטים ייחשפו ב-22 באוקטובר. ההודעה הוסרה, אך צילומי מסך שלה הופצו. חוקרי אבטחה דיווחו בהמשך שהמידע היה אמיתי ושהחולשות היו תחת אמברגו — כלומר, פרטי החשיפה היו אמורים להישאר חסויים עד למועד מוסכם. 3
בדיווחים יוחסה ל-Calif גילוי של חולשה בסיוע מודל של OpenAI. לפי סיקור התגובה המתואמת, גם Wiz גילתה ודיווחה באופן עצמאי על החולשות. המידע הזמין אינו מבסס טענה שהבאגים היו קיימים כ-20 שנה, ואינו מפרט די הצורך איזו קבוצת גילוי אחראית לכל אחד ממזהי ה-CVE. 27
33
השבתות זמניות והנחיות אבטחה
כמה ארגונים השביתו שירותים כאמצעי זהירות בזמן הטיפול בסיכון. בדיווחים הוזכרו שירותים הקשורים למשרד האוצר של יפן, לפלטפורמת משאבי האנוש BambooHR, לנמל רוטרדם ולקרן ויקימדיה. השבתה זמנית, כשלעצמה, אינה ראיה לכך שהארגון נפרץ. 19
הסוכנות האמריקאית CISA קראה לארגונים שמפעילים אתרי PHP להתקין את התיקונים מיד. 33 מהדיווחים שסופקו לא ניתן לקבוע כמה שירותים הושבתו בסך הכול, או לאמת את כל הטענות הנוגעות לבתי חולים, בתי ספר ושירותים ממשלתיים שנפגעו.
מה מלמדים הדיווחים על ניסיונות התקיפה?
הדיווחים מתארים פעילות שנצפתה לפני החשיפה לציבור וגם אחריה:
- אמזון מסרה כי שירות מלכודות הדבש שלה, MadPot, זיהה ניסיון ניצול ב-17 באוקטובר — לפני פרסום התיקונים ב-21 באוקטובר. ממצא ממלכודת דבש מעיד על ניסיון שנשלח לאותו חיישן, ולא מוכיח שנפרצה מערכת אחרת.
50
58
- Cloudflare דיווחה על אלפי ניסיונות במהלך עשר השעות שלפני ההכרזה הפומבית, ועל מיליונים לאחריה. אלה נתוני ניסיונות שנצפו ברשת שלה, ולא ספירה של שרתים שנפרצו בהצלחה.
36
- בזמן פרסום ההתראה שלה, CISA מסרה שלא צפתה בניצול החולשות. זו תמונת מצב באותו זמן; היא אינה סותרת ניסיונות שעליהם דיווחו חברות אבטחה שניתחו מקורות מידע אחרים.
- Sophos תיקנה דיווח מוקדם על ניצול מוצלח בסביבות של לקוחותיה. לפי העדכון, הנתונים שלה הראו סריקות ומספר קטן של ניסיונות כושלים, ולא היו ראיות לפריצה מוצלחת בסביבות שבדקה נכון למועד העדכון.
7
בסך הכול, הממצאים מצדיקים התייחסות דחופה: נצפו ניסיונות, והפגיעה האפשרית חמורה. עם זאת, הם אינם מוכיחים שכל ניסיון הצליח, ואינם מספקים מספר כולל ומבוסס של מערכות שנפרצו.
מה עדיין לא הוכח?
הדיווחים שסופקו אינם מציגים ספירה אמינה של שרתי PHP החשופים לאינטרנט ופגיעים בפועל, אינם מאמתים שהחולשות היו קיימות במשך כ-20 שנה, ואינם מוכיחים שתוקפים השתמשו בבינה מלאכותית כדי לפתח ניצולים ל-PHP2Shell. דווח על סיוע של AI בתהליך הגילוי, אך אין בכך ראיה לאופן שבו תוקפים מצאו את החולשות או הפכו אותן לכלי תקיפה. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: חולשות חמורות ב-PHP והגרסאות שכבר כוללות תיקון"?
PHP2Shell הוא הכינוי לשתי חולשות ב PHP, בדירוג חומרה 9.2, שעלולות לאפשר לתוקף לא מזוהה להריץ קוד בשרת פגיע.
What are the key points to validate first?
PHP2Shell הוא הכינוי לשתי חולשות ב PHP, בדירוג חומרה 9.2, שעלולות לאפשר לתוקף לא מזוהה להריץ קוד בשרת פגיע. מזהי ה CVE נחשפו לפני מועד הפרסום המתוכנן, ו PHP פרסמה את הגרסאות המתוקנות ב 21 באוקטובר 2026.
What should I do next in practice?
דווח על ניסיונות תקיפה, אך מספר הניסיונות שנצפו אינו מעיד כשלעצמו על פריצות מוצלחות.