PHP2Shell: שתי פרצות קריטיות ב-PHP, ומה בעלי אתרים צריכים לבדוק היום

תוכן העניינים

1. מה קרה
2. למה זה נוגע לכל כך הרבה עסקים
3. האם כבר תוקפים
4. AI מצא את הפרצה, ועכשיו זה מרוץ
5. מה לבדוק היום
6. ומה הלקח לטווח ארוך
7. שאלות נפוצות

עודכן: 22.10.2026, 15:30. נמשיך לעדכן את הכתבה הזו כשיהיו חדשות.

ב-21 באוקטובר פרסם צוות PHP עדכון אבטחה לשתי פרצות חמורות, CVE-2026-109618 ו-CVE-2026-109619, שקיבלו יחד את הכינוי PHP2Shell. שתיהן מאפשרות לתוקף להריץ קוד על השרת בלי להתחבר לאתר. אם האתר שלכם רץ על PHP, וברוב המקרים הוא כן, זה הזמן לבדוק את הגרסה.

מה קרה

PHP היא שפת התכנות שמריצה את רוב האתרים ברשת, כולל כל אתר וורדפרס. ב-21.10 יצאו גרסאות מתוקנות: 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. ציון החומרה של שתי הפרצות הוא 9.2 מתוך 10. בימים האחרונים הסתובב ברשת המספר 10, אבל הקרן שמפתחת את PHP הבהירה שהוא שגוי.

הפרצה נוגעת לכל אתר PHP שמגיש דפים לגולשים, בכל צורת התקנה מקובלת. החוקרים הראו שאפשר לנצל אותה באתרי וורדפרס, Drupal, Joomla ו-Magento.

למה זה נוגע לכל כך הרבה עסקים

לפי W3Techs, ‏69.3% מהאתרים שהשפה שלהם ידועה רצים על PHP, ו-39.6% מכלל האתרים בנויים על וורדפרס. כמעט כל עסק קטן בישראל שבנה אתר בעשור האחרון נמצא בתוך המספרים האלה, גם אם מעולם לא שמע את המילה PHP.

האם כבר תוקפים

נכון ל-22.10 בצהריים: יש ניסיונות תקיפה, ואין עדיין דיווח מאומת על פריצות בהיקף רחב. Amazon זיהתה ניסיון ראשון כבר ב-17.10, ארבעה ימים לפני הפרסום. Cloudflare הוסיפה כללי הגנה לכל המסלולים שלה, גם החינמי, אבל היא עצמה מגדירה אותם פתרון זמני. סוכנות הסייבר האמריקאית CISA ממליצה לעדכן מיד, ולנתק מהרשת מערכות שאי אפשר לעדכן.

AI מצא את הפרצה, ועכשיו זה מרוץ

את הפרצה מצאו שני צוותים בנפרד, וכל אחד מהם נעזר בכלי AI כדי לסרוק את הקוד. זה החלק החדש בסיפור: אותם כלים שעוזרים לחוקרים למצוא פרצות לפני כולם עומדים גם לרשות התוקפים. מה שפעם לקח לתוקף שבועות, לוקח היום ימים. לכן הזמן בין פרסום עדכון ועד הניסיון הראשון לנצל אותו הולך ומתקצר, ומי שמחכה "לסוף החודש" כדי לעדכן, מחכה יותר מדי.

מה לבדוק היום

1. בדקו איזו גרסת PHP מריצה את האתר. בוורדפרס: כלים, בריאות האתר, מידע, שרת. אצל רוב חברות האחסון זה מופיע גם בלוח הבקרה.
2. אם הגרסה היא 8.2 עד 8.5, ודאו שחברת האחסון כבר עדכנה לגרסה המתוקנת (8.5.12, 8.4.27, 8.3.36 או 8.2.35). שאלה אחת במייל או בצ'אט מספיקה.
3. אם הגרסה היא 8.1 או ישנה יותר, אין לה עדכון רשמי. צריך לשדרג את האתר לגרסה נתמכת, ולבדוק לפני כן שהתוספים והתבנית עובדים איתה.
4. אל תורידו "תיקונים" או "קוד בדיקה" מקישורים לא רשמיים. חלק מהם נועדו בדיוק כדי לפרוץ למי שממהר.
5. הגנה של Cloudflare או של האחסון עוזרת, אבל לא מחליפה עדכון.

אם האתר נבנה על ידי ספק חיצוני, שלחו לו היום את השאלה: "באיזו גרסת PHP האתר רץ, והאם הוא כבר עודכן?". זו שאלה של דקה.

ומה הלקח לטווח ארוך

כל אתר שרץ על שרת PHP הוא תוכנה שמישהו צריך לעדכן, ולא רק פעם אחת. אתר נטוש בלי אחראי ברור הוא הסיכון האמיתי, יותר מכל פרצה בודדת. כשאתם בוחרים איך לבנות אתר חדש, כדאי לשאול לא רק כמה הוא עולה, אלא מי מעדכן אותו ומה קורה ביום כמו 21.10. כתבנו על זה יותר בהרחבה במאמר על אתר שמוכר ולא רק מציג. האתר שלנו, למשל, לא רץ על PHP בכלל, ולכן הפרצה הזו לא נוגעת לו.

לא בטוחים מה מצב האתר שלכם? הצ'ק-אפ לעסק לוקח שתי דקות, ואפשר גם פשוט לכתוב לנו.

שאלות נפוצות

האתר שלי על Wix או Shopify. זה נוגע לי?

לא ישירות. בפלטפורמות מנוהלות כאלה ספק הפלטפורמה אחראי על השרתים ועל העדכונים. הפרצה נוגעת לאתרים שרצים על PHP בשרת משלהם או באחסון משותף, כמו רוב אתרי הוורדפרס.

איך אדע אם כבר פרצו לאתר שלי?

סימנים שכדאי לבדוק: משתמשי מנהל חדשים שלא יצרתם, קבצים שהשתנו לאחרונה בלי סיבה, הפניות מוזרות מהאתר לאתרים אחרים. אם יש חשד, פנו לחברת האחסון או לאיש מקצוע באבטחת מידע.

חברת האחסון אומרת שהיא מטפלת. זה מספיק?

אם היא עדכנה את PHP לגרסה מתוקנת, כן. בקשו ממנה לאשר בכתב איזו גרסה רצה עכשיו. אם האתר על גרסה 8.1 או ישנה יותר, צריך גם לשדרג את האתר עצמו.

מקורות (נבדקו ב-22.10.2026): הודעת צוות PHP, 21.10.2026; התרעת CISA, 21.10.2026; Tenable; Wiz Research; Amazon Threat Intelligence; Cloudflare; W3Techs.