PHP תחת איום: שתי פרצות קריטיות מאפשרות השתלטות מרחוק

צוות האבטחה של PHP פרסם אתמול עדכוני חירום לשתי חולשות קריטיות בליבת שפת התכנות, לאחר שחוקרי אבטחה הצליחו להדגים כי הן עלולות לאפשר לתוקף להריץ קוד מרחוק ללא צורך באימות. שתי החולשות, CVE-2026-109618 ו־CVE-2026-109619, קיבלו ציון חומרה של 9.2 מתוך 10, והפרויקט ממליץ לכל מי שמפעיל PHP על שרת שמקבל בקשות מהאינטרנט לעדכן באופן מיידי. הגרסאות המתוקנות הן PHP 8.5.12, 8.4.27, 8.3.36 ו־8.2.35.

שתי פרצות בליבה שמריצה חלק גדול מהרשת

הבעיה אינה נמצאת ב־WordPress, ב־Drupal או ב־Joomla עצמם, אלא בליבת PHP שעליה נשענות מערכות אלה ואפליקציות ווב רבות אחרות. לפי PHP, כל התקנה שמשרתת בקשות ווב עלולה להיות חשופה, ובהן PHP-FPM, Apache עם mod_php, php-cgi, FrankenPHP ו־LiteSpeed. צוות הפרויקט ציין כי הסיכון הגבוה ביותר הודגם בתצורות mod_php, שבהן ניתן היה להפעיל את התקיפה עוד לפני שקוד האפליקציה עצמו נכנס לפעולה.

ברמה הטכנית, שתי החולשות קשורות לאופן שבו PHP מתמודדת עם מצבים של כשל בזיכרון ועם מצב פנימי שנותר מאחור לאחר שבקשה מסתיימת באופן חריג. התוצאה עלולה להיות השחתת זיכרון או שימוש במצב ישן שכבר היה אמור להימחק. חוקרי Wiz הדגימו כי במקרים מסוימים ניתן לנצל את ההתנהגות הזאת להרצת קוד ללא אימות, ובתרחישים אחרים לקרוא מידע רגיש מזיכרון התהליך, לרבות סיסמאות, אסימוני אימות ומפתחות API. מאחר שהחולשה נמצאת בשפת התכנות עצמה, אפליקציה יכולה להיות חשופה גם אם הקוד שלה תקין.

כשהבינה המלאכותית מקצרת את הדרך לניצול

הסיפור חריג גם בגלל הדרך שבה החולשות נמצאו. במסגרת יוזמת Patch the Planet של OpenAI, חברת Calif זיהתה חולשה קריטית בעזרת GPT-5.6 Sol. במקביל, צוות המחקר של Wiz גילה באופן עצמאי את שתי החולשות ועשה שימוש במהלך המחקר ב־Wiz Atlas, ב־Gemini 4 Argon וב־GPT-5.6 Sol. הממצאים הועברו לצוות PHP לפני הפרסום, והחברות עבדו יחד עם ספקיות תשתית ואבטחה על תיקון, בדיקות והגנות לפני החשיפה הפומבית.

לפי Wiz, לפחות אחת מהחולשות משפיעה על גרסאות PHP שמגיעות עד גרסה 5.4, כלומר קוד פגיע התקיים במערכת במשך יותר מעשור. בעבר, הפיכת בעיות זיכרון כאלה לניצול עובד דרשה מומחיות גבוהה מאוד והתאמה כמעט ידנית לכל גרסה, תצורה ומבנה זיכרון. החוקרים טוענים כי מודלי AI מתקדמים מקצרים משמעותית את תהליך הניסוי, הניתוח וההתאמה, ולכן חולשות שבעבר היו קשות מדי לניצול בקנה מידה רחב עשויות להפוך ליעד מעשי יותר.

נכון למועד החשיפה לא פורסמה אינדיקציה מאומתת לניצול פעיל של שתי החולשות בעולם האמיתי. OpenAI מסרה כי, ככל הידוע לה, החולשות אותרו על ידי חוקרים לפני שתוקפים ניצלו אותן. אלא שמרגע שהפרטים והעדכונים פורסמו, חלון הזמן של הארגונים הצטמצם: תוקפים יודעים כעת מה תוקן, בעוד מערכות רבות עדיין עשויות להמתין לעדכון.

מה צריכים ארגונים לעשות עכשיו

המרכז הלאומי הבריטי לאבטחת סייבר, NCSC, קרא לארגונים לזהות תחילה את כל מערכות PHP בסביבה שלהם, במיוחד אלה החשופות לאינטרנט, ולא להסתפק בחיפוש אחר גרסאות ישנות בלבד. ההמלצה המרכזית היא לעבור בהקדם לגרסה מתוקנת. PHP 8.1 וגרסאות ישנות יותר אינן נתמכות עוד ישירות על ידי פרויקט PHP, ולכן מי שמפעיל אותן צריך לבדוק אם ספק ההפצה שלו מספק תיקון לאחור, או לעבור לגרסה נתמכת.

פרויקט PHP פרסם גם צעדי צמצום זמניים למי שאינו יכול לעדכן מיד, אך מדגיש שאין כיום פתרון חלופי מלא לעדכון. ה־NCSC אף ממליץ לשקול הורדה זמנית מהאוויר של מערכת שאי אפשר לעדכן או להגן עליה בזמן סביר. בנוסף, הוא ממליץ לבדוק סימנים לפריצה לפני השדרוג, בעיקר במערכות שהיו חשופות לאינטרנט.

עבור מפעילי אתרי WordPress, המשמעות חשובה במיוחד: זו אינה חולשת WordPress, ועדכון מערכת ניהול התוכן לבדו אינו בהכרח מספיק. יש לוודא גם שסביבת האחסון או ספק האירוח מפעילים גרסת PHP מתוקנת. זו בדיוק הסיבה שהאירוע מושך תשומת לב רחבה כל כך: הפעם לא מדובר בתוסף פגיע או במערכת אחת, אלא ברכיב תשתית שנמצא מתחת לחלק גדול מהרשת.