AnswersPublished24 sources
PHP2Shell: פרצות חמורות ב-PHP מחייבות עדכון דחוף
PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שמאפשרות לתוקף לא מאומת להריץ קוד מרחוק. גרסאות התיקון הן PHP 8.5.12, 8.4.27, 8.3.36 ו 8.2.35.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שמאפשרות לתוקף לא מאומת להריץ קוד מרחוק.
- גרסאות התיקון הן PHP 8.5.12, 8.4.27, 8.3.36 ו 8.2.35. מומלץ למפות את כל התקנות ה PHP ולהתקין עדכון ספק מאומת בהקדם.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell הוא הכינוי לשתי חולשות קריטיות בקוד של PHP שמטפל בבקשות: CVE-2026-109618 ו-CVE-2026-109619. הן עלולות לאפשר לתוקף שאינו מחובר להריץ קוד בשרת פגיע. צוות PHP פרסם עדכוני חירום ב-21 באוקטובר 2026, לאחר שפרטי החולשות דלפו לציבור לפני מועד החשיפה המתוכנן. דיווחים על ניסיונות תקיפה אינם, בפני עצמם, הוכחה לכך שמערכות נפרצו בהצלחה. 4
6
15
מה עושות חולשות PHP2Shell?
שתי החולשות נמצאות ב-PHP עצמו, ולא באפליקציה מסוימת שנבנתה באמצעותו. לפי אזהרות האבטחה, PHP מגרסה 5.4 ואילך עלול להיות פגיע; בקשות שנבנו במיוחד יכולות להפעיל את החולשות במערכות שמעבדות תעבורת אינטרנט. 8
14
מקורן של שתי החולשות שונה: CVE-2026-109618 קשורה לשחיתת זיכרון בעקבות מיצוי זיכרון (out-of-memory), ואילו CVE-2026-109619 קשורה למצב גלובלי מיושן. שתיהן קיבלו ציון 9.2 לפי CVSS 4.0 וסווגו כקריטיות. 4
15
PHP נמצאת בשימוש נרחב, אך המקורות הזמינים כאן אינם מבססים אחוז אמין של כלל האתרים שמשתמשים בה. הערכות שכיחות עשויות להתבסס על מכנים שונים, ולכן אין להתייחס למספר בולט כאילו הוא ספירה של אתרים פגיעים. מבחינת מי שמפעילים מערכות, השאלה החשובה היא אם התקנת PHP כלשהי שמקבלת בקשות מהאינטרנט עדיין לא עודכנה. 3
14
הדליפה, גילוי בסיוע AI ועדכוני החירום
קיומן של החולשות נודע לציבור ב-20 באוקטובר — יום לפני פרסום עדכוני החירום, ולקראת מועד חשיפה שתוכנן במקור ל-22 באוקטובר. 6
7
16
Cloudflare ציינה את Calif, את Wiz, את OpenAI ואת Quarkslab בתיאור האירוע. בדיווחים מהתקופה נאמר כי המחקר של Calif נעזר בבינה מלאכותית וכי Wiz גילתה ודיווחה על החולשות באופן עצמאי. המקורות הזמינים אינם מפרטים במדויק את התרומה הטכנית של כל אחד מהצדדים. 14
20
העדכונים שפורסמו ב-21 באוקטובר הם PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. 15
16 מנהלות ומנהלי מערכות צריכים לזהות אילו גרסאות PHP פועלות בסביבת הייצור ולהתקין את הגרסה המתוקנת המתאימה, או תיקון-חזרה (backport) שאומת על ידי הספק. ספקי אחסון עשויים להטמיע תיקון אבטחה בלי לשנות את מספר גרסת הבסיס שמוצג, ולכן אם המספר נראה ישן, כדאי לבדוק את הודעת הספק.
1
מה ידוע על ניסיונות תקיפה?
ב-21 באוקטובר דווח על ניסיונות תקיפה שניצלו את החולשות. Cloudflare מסרה שזיהתה תעבורת תקיפה, ו-SecurityWeek דיווחה שכמה חברות סייבר הבחינו בניסיונות לפני שפורסמו תיקוני PHP. 14
15
המידע שפורסם אז לא הצביע על מסקנה מוסכמת אחת בנוגע לניצול מוצלח. בסיכום מאוחר יותר של הדיווחים מ-21 באוקטובר נכתב ש-CISA והמרכז הקנדי לאבטחת סייבר לא זיהו או צפו בניצול באותו זמן, בעוד חברות אבטחה דיווחו על ניסיונות. אלה טענות שונות: בקשה שנועדה לנצל חולשה אינה הוכחה לפריצה מוצלחת, והעובדה שסוכנות לא זיהתה ניצול אינה מוכיחה שלא התרחשה פגיעה. 25
עדכון, מיפוי והגנות זמניות
ה-NSA המליצה לארגונים לתעדף התקנת תיקוני ספק ולמפות חומרה ושירותי תוכנה שתלויים בגרסאות PHP פגיעות. 17 לפי דיווחים, גם CISA קראה להתקין עדכונים בהקדם.
20 אם אי אפשר לעדכן שירות פגיע בזמן, בדיווחים תוארה המלצה להשבית אותו זמנית במקום להשאירו חשוף.
7
21
Cloudflare מסרה שלקוחות ה-WAF שלה, בתוכניות החינמיות והבתשלום, קיבלו הגנה כברירת מחדל מפני PHP2Shell החל מ-03:02 UTC ב-21 באוקטובר. 14 ההגנה יכולה להוסיף שכבת אבטחה, אך היא אינה תחליף לעדכון PHP הפגיע. אין לראות בכלל סינון הוכחה לכך שהשרת עצמו מאובטח.
14
17
האירוע גם הוביל לבדיקות במוצרים שאינם אירוח PHP רגיל. Help Net Security דיווחה ש-Palo Alto Networks מסרה שכל הגרסאות של PAN-OS ושל Panorama הושפעו, ושבעת פרסום הדיווח עדיין לא היו זמינים תיקונים. 33 חשיפה ודרכי צמצום סיכון תלויות במוצר ובספק; ארגונים שמשתמשים במכשירים או בפלטפורמות מנוהלות צריכים לפעול לפי הודעת הספק הרלוונטית, ולא להניח שעדכון חבילת PHP יטפל גם במוצרים האלה.
השורה התחתונה
יש להתייחס ל-PHP2Shell כאל אירוע שמחייב עדכון דחוף: למפות שירותי PHP, להתקין את הגרסה המתוקנת או תיקון-חזרה שאושר, ולהשתמש בבידוד זמני או בסינון רק כאמצעי ביניים. הדיווחים מ-21 באוקטובר מצדיקים דאגה לנוכח ניסיונות התקיפה, אך אינם מצדיקים להתייחס לכל ניסיון כאל פריצה מאומתת. 1
15
17
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: פרצות חמורות ב-PHP מחייבות עדכון דחוף"?
PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שמאפשרות לתוקף לא מאומת להריץ קוד מרחוק.
What are the key points to validate first?
PHP2Shell הוא הכינוי לשתי חולשות קריטיות ב PHP, שמאפשרות לתוקף לא מאומת להריץ קוד מרחוק. גרסאות התיקון הן PHP 8.5.12, 8.4.27, 8.3.36 ו 8.2.35. מומלץ למפות את כל התקנות ה PHP ולהתקין עדכון ספק מאומת בהקדם.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...