AnswersPublished30 sources
PHP2Shell: שתי פרצות קריטיות, מרוץ לעדכון ולקחים למפעילי אתרים
PHP2Shell הוא הכינוי לשתי פרצות קריטיות ב PHP: CVE 2026 109618 ו CVE 2026 109619. תיקונים פורסמו ב 21 באוקטובר 2026. דיווחים על סריקות וניסיונות ניצול אינם כשלעצמם ראיה לכך שמערכות נפרצו בהצלחה.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- PHP2Shell הוא הכינוי לשתי פרצות קריטיות ב PHP: CVE 2026 109618 ו CVE 2026 109619.
- תיקונים פורסמו ב 21 באוקטובר 2026. דיווחים על סריקות וניסיונות ניצול אינם כשלעצמם ראיה לכך שמערכות נפרצו בהצלחה.
- מפעילי אתרים צריכים לעדכן את סביבת PHP עצמה, לוודא שהתיקון פעיל ולבדוק סימנים אפשריים לפגיעה — לא להסתפק בעדכון תוספים.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the October 2026 “PHP2Shell” cybersecurity crisis involving AI-discovered flaws CVE-2026-109618 and CVE-2026-109619 in PHP, which po. Article summary: PHP2Shell is the name given to two critical PHP vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution; emergency patches and precautionary shutdowns followed their Oc. Topic tags: general, general web, government, news, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermar
PHP2Shell הוא הכינוי שניתן לשתי פרצות קריטיות בשפת התכנות PHP: CVE-2026-109618 ו-CVE-2026-109619. שתיהן עלולות, בתנאים מסוימים, לאפשר הרצת קוד מרחוק ללא התחברות — סיכון משמעותי לשרתים שלא עודכנו. ב-21 באוקטובר 2026 פרסמה PHP תיקוני חירום, ובמהלך הטיפול באירוע ארגונים מסוימים השביתו שירותים כאמצעי זהירות. חשוב להבחין בין דיווחים על סריקות וניסיונות תקיפה לבין הוכחה שמערכות נפרצו בהצלחה. 4
7
18
מה עושות הפרצות?
הפרצות נמצאות בליבת PHP — סביבת הריצה שמפעילה את הקוד — ולא בתוסף מסוים או באפליקציה ספציפית. אחת קשורה לטיפול במצב של מחסור בזיכרון; השנייה, למצב גלובלי מיושן. בתנאים מסוימים, בקשה שנבנתה במיוחד עלולה להוביל להרצת קוד מרחוק, ואחת הפרצות עשויה גם לחשוף מידע רגיש מזיכרון התהליך. 4
11
PHP נפוצה מאוד באתרים. חלק מהדיווחים מעריכים שהיא משמשת עד 70% מהאתרים, אך הנתון הרחב הזה אינו אומר שכל אתר PHP היה חשוף או פגיע באותה מידה. רמת הסיכון תלויה, בין היתר, בגרסה, בהגדרות השרת ובשאלה אם אפשר להגיע למסלול הקוד הפגיע. 45
46
גילוי בסיוע AI — וחשיפה מוקדמת של הפרטים
בדיווחים על גילוי הפרצות והטיפול בהן הוזכרו חוקרים וצוותים ב-Wiz, ב-Calif וב-OpenAI; חלק מהסיקור תיאר שימוש ב-AI כחלק מתהליך המחקר. עם זאת, המידע הזמין אינו מאמת את כל פרטי סיפור הגילוי, לרבות תרחיש מסוים של מעבר מניצול ב-WordPress ל-Drupal או חלוקת האחריות המדויקת לגילוי כל אחת מהפרצות. 14
45
לפי דיווחים, סימנים לבעיה בטיפול בזיכרון זוהו עוד קודם, אך רק בהמשך הודגמה האפשרות לנצל אותה להרצת קוד מרחוק. ההבדל חשוב: זיהוי של באג חשוד אינו זהה להוכחה שקיים מסלול תקיפה מעשי. 22
38
פרטים על הפרצות דלפו לפני המועד המתוכנן לפרסום, והדליפה הגבירה את הלחץ על צוותי התגובה והאיצה את מרוץ העדכונים. 6
23 האירוע ממחיש כיצד חשיפה מוקדמת יכולה להפוך את הטיפול באבטחה לאתגר תפעולי: יש לאמת את הבעיה, להכין תיקון ולהפיץ אותו — לעיתים בתוך חלון זמן קצר מהמתוכנן.
התיקונים וניסיונות התקיפה: מה ידוע?
גרסאות PHP המתוקנות שפורסמו ב-21 באוקטובר הן 8.2.35, 8.3.36, 8.4.27 ו-8.5.12. מנהלי מערכות צריכים לבדוק גם את הודעת האבטחה של ספק מערכת ההפעלה או שירות האחסון: ספקים מסוימים מפיצים תיקון בחזרה לגרסה קיימת, ולכן מספר הגרסה לא תמיד יהיה זהה למספר שפרויקט PHP פרסם. 4
39
חברות אבטחה דיווחו על סריקות או ניסיונות ניצול בסמוך לחשיפה. דיווחים הקשורים ל-Cloudflare תיארו עלייה חדה בהיקף הניסיונות. נתונים כאלה מתארים בקשות או ניסיונות שנצפו בשירותים מסוימים — הם אינם קובעים כמה שרתים נפרצו בפועל. 5
36
הדיווחים על ניצול מוצלח לא היו אחידים. ה-BBC דיווח ב-22 באוקטובר שלא דווח עד אז על ניצול מוצלח; בעדכון מאוחר יותר, Beazley ציין שדווחו ניסיונות נרחבים אך שלא ידוע לו על ניצול המוני מאומת. גם Sansec עדכנה שהסבירות לניצול המוני נראתה נמוכה מכפי שהעריכה בתחילה. ההערכות האלה נכונות למועד פרסומן, ואף אחת מהן אינה הופכת שרת שלא עודכן לבטוח. 7
9
18
למה שירותים הושבתו?
ארגונים מסוימים הגבילו גישה לשירותים או השביתו אותם זמנית, בזמן שבדקו אם הם חשופים והכינו עדכון. לפי דיווחים, ממשלת בריטניה השביתה 32 שירותים. מעקב אחר סטטוס שירותים תיעד יותר מ-100 שירותים שפרסמו הודעות על השבתה, תחזוקה או PHP2Shell לפני שהתיקון היה זמין. צעדים כאלה מעידים על השיבוש שנגרם מהיערכות דחופה — אך אינם מוכיחים שהשירותים עצמם הותקפו. 22
34
דיווחים נוספים תיארו תגובות של ממשלות וארגונים במדינות אחרות, אך המידע הזמין אינו מספק רשימה מלאה ומאומתת באופן עצמאי של השירותים שהושפעו, ואינו מאשר כל דיווח על השבתה מקומית. 20
25
מה מפעילי אתרים צריכים לעשות עכשיו?
- למפות את כל התקנות PHP. בדקו שרתי ייצור, קונטיינרים, מערכות משניות ושירותי אחסון מנוהלים — לא רק את האתר הראשי.
- להתקין את התיקון המתאים בהקדם. עדכנו לגרסה המתוקנת או לתיקון מקביל שאושר על ידי הספק. לפי הצורך, הפעילו מחדש את שירותי PHP או את תהליכי העובדים, ואמתו איזו גרסה פועלת. עדכון של אפליקציה או תוסף PHP אינו תחליף לעדכון סביבת הריצה עצמה.
14
39
- להגביל חשיפה אם אי אפשר לעדכן מיד. בהתאם לחשיפה ולחשיבות העסקית של השירות, שקלו להגביל אליו גישה ציבורית או להשבית אותו זמנית. כללי הגנה ברשת הם אמצעי ביניים, לא תחליף לתיקון.
- לחפש סימנים לפגיעה. בדקו יומנים רלוונטיים וחפשו קבצים, תהליכים או חשבונות מנהל חריגים. אם עולה חשד לפריצה, שמרו ראיות ופתחו בבדיקה — התקנת התיקון אינה מבטיחה שפגיעה קודמת נפתרה.
- לקבל אישור מספק השירות. עסקים קטנים המשתמשים באחסון או בשירות מנוהל צריכים לבקש אישור ברור שכל התקנות PHP שעליהן הם מסתמכים טופלו.
ה-NSA המליצה לתעדף תיקונים קריטיים ואמרה שהיא מתמקדת בזיהוי גורמים זדוניים שעשויים לנסות לנצל את PHP2Shell. גם ה-FBI קרא לארגונים לעדכן התקנות PHP. המקורות הזמינים כאן אינם מבססים הנחיה משותפת אחת של FBI, NSA ו-CISA שמורה לכל הארגונים להשבית מערכות אם אינם יכולים להתקין תיקון. 17
28
ומה יכולים לעשות משתמשים פרטיים?
כדאי לעדכן מכשירים אישיים, אפליקציות ונתבים, להשתמש באימות רב-שלבי ובסיסמאות ייחודיות. אלה הרגלי אבטחה מועילים, אבל הם אינם מתקנים את סביבת PHP בשרת של אתר — האחריות לכך מוטלת על מפעיל האתר או על ספק האחסון שלו.
הלקח המעשי מ-PHP2Shell הוא הצורך בעדכון מהיר ומאומת ובהיערכות לחלונות תגובה קצרים. האירוע מצדיק תשומת לב למהירות שבה מחקר אבטחה וניסיונות ניצול יכולים להתפתח; עם זאת, אין בסיס להפוך ספירת ניסיונות תקיפה להוכחה לפגיעה המונית או לתאר את המצב כקריסה כללית של אבטחת האינטרנט.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: שתי פרצות קריטיות, מרוץ לעדכון ולקחים למפעילי אתרים"?
PHP2Shell הוא הכינוי לשתי פרצות קריטיות ב PHP: CVE 2026 109618 ו CVE 2026 109619.
What are the key points to validate first?
PHP2Shell הוא הכינוי לשתי פרצות קריטיות ב PHP: CVE 2026 109618 ו CVE 2026 109619. תיקונים פורסמו ב 21 באוקטובר 2026. דיווחים על סריקות וניסיונות ניצול אינם כשלעצמם ראיה לכך שמערכות נפרצו בהצלחה.
What should I do next in practice?
מפעילי אתרים צריכים לעדכן את סביבת PHP עצמה, לוודא שהתיקון פעיל ולבדוק סימנים אפשריים לפגיעה — לא להסתפק בעדכון תוספים.
Sources
dynatrace.comCVE-2026-109618 & CVE-2026-109619: PHP2Shell Critical ...
labs.beazley.securityPHP2SHELL: Critical PHP RCE Flaws Threaten Web Infrastructure ...
bbc.comPHP: What is it and why did it spark a global cyber security ...
sec.cloudapps.cisco.comVulnerabilities in PHP Affecting Cisco Products: October 2026