AnswersPublished25 sources
PHP2Shell: הפרצה הקריטית ב־PHP והעדכונים שכדאי להכיר
ב־21 באוקטובר פרסמה PHP עדכונים לשתי חולשות קריטיות שאפשרו הרצת קוד מרחוק ללא התחברות; למחרת דווח על עלייה חדה בניסיונות לנצל אותן. הגרסאות המתוקנות הן PHP 8.5.12, 8.4.27, 8.3.36 ו־8.2.35.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- ב־21 באוקטובר פרסמה PHP עדכונים לשתי חולשות קריטיות שאפשרו הרצת קוד מרחוק ללא התחברות; למחרת דווח על עלייה חדה בניסיונות לנצל אותן.
- הגרסאות המתוקנות הן PHP 8.5.12, 8.4.27, 8.3.36 ו־8.2.35. מומלץ לבדוק איזו גרסה פועלת בשרתים ולהתקין עדכון מתאים.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell הוא הכינוי שניתן לשתי חולשות קריטיות ב־PHP, שמזוהות כ־CVE-2026-109618 ו־CVE-2026-109619. PHP פרסמה תיקונים ב־21 באוקטובר 2026, לאחר שפרטי החולשות דלפו לפני מועד החשיפה המתוכנן. עד 22 באוקטובר דיווחו חברות אבטחה על זינוק בניסיונות לנצל אותן. לפי הערכות, PHP משמשת כ־70% מהאתרים — נתון שמסביר את הדחיפות, אך אינו אומר ש־70% מהאתרים נפרצו. 1
2
9
18
19
מה אפשרו החולשות?
מדובר בחולשות של הרצת קוד מרחוק ללא אימות (RCE): בתנאים מסוימים, תוקף יכול היה להריץ קוד בשרת פגיע בלי להתחבר אליו קודם. אחת החולשות קשורה לשיבוש זיכרון בעקבות מצב של מחסור בזיכרון; השנייה נוגעת למצב גלובלי שהתיישן. 6
7
דיווחים הצביעו על כך שהטווח האפשרי כולל גרסאות PHP ישנות, החל מ־5.4. אבל אין פירוש הדבר שכל אתר שמשתמש ב־PHP היה בהכרח פגיע בתצורה שלו, או שנפרץ בפועל. 14
21
אילו גרסאות תוקנו?
ב־21 באוקטובר פרסמה PHP גרסאות מתוקנות: 8.5.12, 8.4.27, 8.3.36 ו־8.2.35. 1
6 העדכונים פורסמו לאחר שפרטי החולשות דלפו ב־20 באוקטובר, יומיים לפני מועד החשיפה המתוכנן ל־22 באוקטובר. הדליפה שיבשה את לוח הזמנים המתואם והובילה לפרסום תיקוני חירום.
2
9
13
לארגונים שמפעילים PHP, הצעד המעשי הוא לבדוק איזו גרסה מותקנת בכל שרת החשוף לבקשות מהאינטרנט, ולעדכן לגרסה המתוקנת המתאימה לענף שבו הם משתמשים. ההמלצות מתייחסות להתקנות שמשרתות בקשות אינטרנט — לא רק לאתר או ליישום מסוים. 7
11
מחקר בסיוע בינה מלאכותית — ועבודת צוות אנושית
לפי OpenAI, חברת האבטחה Calif איתרה אחת מהחולשות בעזרת GPT-5.6 Sol, במסגרת יוזמת Patch the Planet. Wiz גילתה ודיווחה באופן עצמאי על שתי החולשות. צוותי PHP הובילו את תיקון הקוד ואת פרסום העדכונים. 48 OpenAI מסרה כי במשך כחודשיים תיאמה את העבודה עם מתחזקי PHP, חוקרים וספקיות אבטחה.
48
הדיווחים מתארים שימוש בבינה מלאכותית כחלק ממחקר אבטחה — לא מצב שבו מערכת AI לבדה גילתה, אימתה ותיקנה את החולשות. בתהליך היו מעורבים גם חברות אבטחה ומתחזקי PHP. 35
48
מה דווח על ניסיונות התקיפה ועל השבתת שירותים?
Cloudflare דיווחה כי מספר ניסיונות הניצול שנצפו עלה מאלפים לפני החשיפה הציבורית למיליונים אחריה. לפי דיווחים, אמזון זיהתה ניסיון תקיפה כבר ב־17 באוקטובר — ארבעה ימים לפני החשיפה לציבור. אלה נתונים על ניסיונות, ולא ספירה של פריצות מוצלחות. 19
ספקיות אבטחה דיווחו גם על פעילות מעבר למערכות דמה שנועדו למשוך תוקפים ולעקוב אחריהם, אך ציינו כי באותה עת הגורמים הרשמיים לא אישרו את הדיווחים. 17 במקביל, פורסמו דיווחים על השבתת אתרים ושירותים ממשלתיים כאמצעי זהירות, ובהם יותר מ־30 שירותים של ממשלת בריטניה.
23
ה־NSA הזהירה שתוקפים עלולים לנצל את החולשות כדי להשתלט על שרתי אינטרנט, לגנוב מידע, לשבש שירותים או להתקדם לתוך רשתות ארגוניות. לפי USA Today, הסוכנות המליצה לאתרים שלא יכולים לתקן את הבעיה במהירות לרדת מהאוויר. 18
23
התמונה שעולה מהדיווחים היא של תגובת אבטחה מהירה ושל נפח גדול של תעבורת תקיפה. היא אינה מספקת מניין עולמי של פריצות מוצלחות, ואין לראות בהערכות על שיעור השימוש ב־PHP מדד לכמות האתרים שנחשפו בפועל או שנפגעו.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: הפרצה הקריטית ב־PHP והעדכונים שכדאי להכיר"?
ב־21 באוקטובר פרסמה PHP עדכונים לשתי חולשות קריטיות שאפשרו הרצת קוד מרחוק ללא התחברות; למחרת דווח על עלייה חדה בניסיונות לנצל אותן.
What are the key points to validate first?
ב־21 באוקטובר פרסמה PHP עדכונים לשתי חולשות קריטיות שאפשרו הרצת קוד מרחוק ללא התחברות; למחרת דווח על עלייה חדה בניסיונות לנצל אותן. הגרסאות המתוקנות הן PHP 8.5.12, 8.4.27, 8.3.36 ו־8.2.35. מומלץ לבדוק איזו גרסה פועלת בשרתים ולהתקין עדכון מתאים.