AnswersPublished28 sources
PHP2Shell ממחישה למה גילוי פרצות בעזרת AI חייב לבוא עם תיקון מתואם
PHP2Shell הוא הכינוי לשתי חולשות בליבת PHP, שכל אחת מהן קיבלה ציון חומרה 9.2, ותוקנו ב־21 באוקטובר 2026. לפי OpenAI, Calif השתמשה ב־GPT 5.6 Sol במסגרת יוזמת Patch the Planet, ואילו Wiz גילתה ודיווחה באופן עצמאי על שתי החולשות.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP2Shell הוא הכינוי לשתי חולשות בליבת PHP, שכל אחת מהן קיבלה ציון חומרה 9.2, ותוקנו ב־21 באוקטובר 2026.
- לפי OpenAI, Calif השתמשה ב־GPT 5.6 Sol במסגרת יוזמת Patch the Planet, ואילו Wiz גילתה ודיווחה באופן עצמאי על שתי החולשות.
- אמזון דיווחה שמערכת MadPot זיהתה ניסיון ניצול ב־17 באוקטובר, לפני הפרסום לציבור.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shell הוא הכינוי שניתן לשתי חולשות חמורות בליבת PHP, שעבורן פורסמו תיקוני חירום ב־21 באוקטובר 2026. לפי התיאור של OpenAI, הסיפור אינו מסתכם בכך שמודל AI סייע לזהות פרצה: במשך חודשיים פעלו מתחזקי PHP, חוקרים וספקיות אבטחה כדי להכין תיקונים והגנות לפני הפרסום.18 זהו האתגר המרכזי באבטחה בסיוע AI: גילוי חולשה הוא רק הצעד הראשון; צריך גם להפוך אותו לתיקון אמין שארגונים יוכלו להתקין.
מה התגלה — ומה היה תפקיד ה־AI?
שתי החולשות, CVE-2026-109618 ו־CVE-2026-109619, קיבלו כל אחת ציון CVSS של 9.2. חוקרים הדגימו הרצת קוד מרחוק ללא אימות באתרים המבוססים על WordPress, Drupal ו־Joomla, וכן חשיפת מידע מהזיכרון.3
4 לפי הדיווחים, טווח הגרסאות הפגיעות משתרע מ־PHP 5.4 ועד PHP 8.5.
1
החולשות קשורות לאופן שבו PHP מנהלת זיכרון. אחת נוגעת לטיפול במצב של זיכרון שאזל; השנייה קשורה למידע ישן שנותר בין בקשות ולשימוש בזיכרון שכבר שוחרר — תופעה המכונה use-after-free.3
9 במילים אחרות, לפי הדיווחים הבעיה לא הייתה רק ברכיב של אתר מסוים, אלא ב־PHP עצמה, סביבת הריצה שעליה נשענים יישומים רבים.
3
4
OpenAI מסרה כי Calif זיהתה חולשה חמורה בעזרת GPT-5.6 Sol במסגרת יוזמת Patch the Planet, וכי Wiz גילתה ודיווחה באופן עצמאי על שתי החולשות.18 בדיווח של Wiz ובסיקור נוסף מוזכרים גם Wiz Atlas, Gemini 4 Argon ו־GPT-5.6 Sol ככלים ששימשו במחקר של Wiz.
4
33 עם זאת, המקורות הזמינים אינם מפרטים בבירור מה הייתה תרומתו המדויקת של כל מודל, ולכן אין בהם בסיס לקבוע איזה מהם שימש לבדיקת מתקפות או לאימות התיקונים.
ציר זמן משני, שמסתמך על פרסום של PHP Foundation, מציין דיווחים ל־PHP מצד Calif ב־11 באוגוסט, Wiz ב־24 באוגוסט ו־OpenAI ב־18 בספטמבר.6 אלה תאריכי דיווח כפי שפורסמו, ולא בהכרח המועדים שבהם כל צוות גילה לראשונה את החולשות.
למה נדרש תיאום רחב כדי לפרסם את התיקונים?
OpenAI מסרה שהעבודה נמשכה חודשיים וכללה מתחזקים, חוקרים וספקיות אבטחה, שפעלו להכין תיקונים והגנות לקראת חשיפת החולשות.18 לפי ההודעה, מתחזקי PHP הובילו את הכנת התיקונים ואת פרסום הגרסאות, בעוד שותפים מתחום המחקר והאבטחה סייעו במחקר, בתמיכה טכנית ובתיאום.
18
התיקונים פורסמו ב־21 באוקטובר, יום לפני מועד הפרסום שתוכנן ל־22 באוקטובר.14 לפי דיווחים, לוחות הזמנים השתנו בעקבות דליפות מידע ופרסום מוקדם של תמונות קונטיינר מתוקנות. PHP Foundation האשימה את Chainguard בהפרת האמברגו — טענה שיש לייחס לקרן, ולא להציג כמחלוקת שהוכרעה באופן עצמאי.
6
35
38
כאן מתחדד המתח שבבסיס חשיפה מתואמת של חולשות: שמירת הפרטים בסוד נותנת למתחזקים ולמפיצי התוכנה זמן להכין עדכונים, אבל דחייה עלולה להותיר משתמשים חשופים אם כבר מתבצעים ניסיונות ניצול. לפי סיקור ההצעה של OpenAI, מודל התגובה כולל כמה שלבים: לאמת את הבעיה ולפתח תיקון, לתת למפיצים זמן להתכונן, לערב שותפים ממשלתיים, ואז להרחיב את ההתרעה ולפרסם הנחיות. אם מתגלים ניצול פעיל או דליפה, ייתכן שיהיה צורך לקצר את לוחות הזמנים.37
41
דיווחים על ניסיונות תקיפה — ומה עדיין לא ידוע
אמזון מסרה שמערכת MadPot שלה זיהתה ניסיון לנצל את PHP2Shell ב־17 באוקטובר — ארבעה ימים לפני הפרסום לציבור. דיווחים נוספים תיארו ניסיונות ניצול בהיקף רחב יותר לאחר פרסום התיקונים.5 זיהוי של ניסיון תקיפה אינו מעיד כשלעצמו על השתלטות מוצלחת, והמידע שפורסם אינו קובע כיצד נודע לתוקף על החולשה לפני החשיפה או כמה שרתים נפרצו בפועל.
לפי דיווח, Palo Alto Networks זיהתה יותר מ־22.6 מיליון מופעים החשופים לאינטרנט שעלולים להיות פגיעים ל־PHP2Shell.53 חשוב לדייק: אומדן של מערכות שעלולות להיות פגיעות אינו ספירה של שרתים שאומתו כפגיעים או שנפרצו.
גורמי ממשל קראו לארגונים לטפל בחולשות בהקדם. בדיווח אחד נאמר כי הרשויות המליצו להשבית מערכות שאי אפשר לאבטח במהירות.56 Cloudflare מסרה שהפעילה מראש הגנות בחומת האש ליישומי אינטרנט (WAF) עבור לקוחותיה שמשתמשים בשירות.
12 שכבת הגנה כזאת יכולה להשלים את עדכון התוכנה, אך אינה מחליפה את הצורך לבדוק איזו גרסת PHP מותקנת ולעדכן אותה.
הגרסאות שדווח כי תיקנו את החולשות הן 8.2.35, 8.3.36, 8.4.27 ו־8.5.12.8 מפעילי מערכות צריכים לבדוק איזו הפצת PHP וגרסה מותקנות אצלם, משום שמספרי הגרסאות בחבילות של ספקים שונים עשויים להיות שונים.
8
הלקח הרחב: להגדיל גם את היכולת לתקן
OpenAI מסרה גם שהתחייבה להעמיד סבסוד בשווי מיליארד דולר לגישה ל־Daybreak עבור מגיני סייבר, בדגש על ארגונים בעלי משאבי אבטחה מוגבלים שאחראים לשירותים חיוניים.25 ההתחייבות נועדה לסייע בהנגשת כלי אבטחה; פרשת PHP2Shell מדגישה את המשימה המשלימה — להכין תיקונים, להעביר מידע ברור ולהביא לכך שהם יותקנו ברחבי המערכת האקולוגית של התוכנה.
מחקר בעזרת AI עשוי לסייע באיתור חולשות, אך גם טענות על מה שהתגלה, על תרומת הכלים ועל הצלחתן של מתקפות מחייבות ייחוס זהיר. המסקנה המתונה שעולה מפרשת PHP2Shell היא שגילוי מוקדם יכול ליצור חלון הזדמנויות למגינים — אבל הוא מועיל רק אם מתחזקי התוכנה, הספקים ומפעילי המערכות מצליחים להכין ולהתקין את התיקונים בזמן.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell ממחישה למה גילוי פרצות בעזרת AI חייב לבוא עם תיקון מתואם"?
PHP2Shell הוא הכינוי לשתי חולשות בליבת PHP, שכל אחת מהן קיבלה ציון חומרה 9.2, ותוקנו ב־21 באוקטובר 2026.
What are the key points to validate first?
PHP2Shell הוא הכינוי לשתי חולשות בליבת PHP, שכל אחת מהן קיבלה ציון חומרה 9.2, ותוקנו ב־21 באוקטובר 2026. לפי OpenAI, Calif השתמשה ב־GPT 5.6 Sol במסגרת יוזמת Patch the Planet, ואילו Wiz גילתה ודיווחה באופן עצמאי על שתי החולשות.
What should I do next in practice?
אמזון דיווחה שמערכת MadPot זיהתה ניסיון ניצול ב־17 באוקטובר, לפני הפרסום לציבור.