CISA בהתרעת חירום: פרצת PHP2Shell משתוללת ברשת

CISA, הסוכנות לאבטחת סייבר ותשתיות של ארצות הברית, אישרה כי האקרים מנצלים כעת באופן פעיל שתי פרצות אבטחה חמורות בתוכנת PHP, המפעילה כ-70% מהאתרים ברשת. הגילוי על ניצולן בשטח של הפגיעויות הללו, המכונות PHP2Shell, עורר סערה בענף הטכנולוגיה עקב יכולתם של תוקפים להשיג הרצת קוד מרחוק ולחדור לשרתים ללא צורך בהזדהות מוקדמת.

🚨 Organizations should immediately patch critical PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619. These vulnerabilities enable unauthenticated #RCE and affect PHP installations serving web requests. Learn more: 🔗 https://t.co/8vu6SvNzfB https://t.co/LUWik7aQcG

— CISA Cyber (@CISACyber) October 21, 2026

מהמרוץ נגד השעון ועד להתרעה הרשמית

על פי ממצאי יחידת המודיעין של אמזון (Amazon) שפורסמו בבלוג טנאבל (Tenable), ניסיונות תקיפה ראשוניים נרשמו כבר ב-17 באוקטובר – ארבעה ימים לפני שצוות הפיתוח של PHP שחרר עדכוני חירום לגרסאות 8.2 עד 8.5.

כפי שדווח ב-BleepingComputer, צוות התוכנה הפעיל נוהל חירום וקרא למנהלי מערכות לשדרג את השרתים ללא דיחוי.

We added #PHP2Shell vulnerabilities, CVE-2026-109618 and CVE-2026-109619, to our Known Exploited Vulnerabilities Catalog. Visit https://t.co/myxOwap1Tf & apply mitigations to protect your org. #Cybersecurity #InfoSec #RCE https://t.co/ozZO1iTNS1

— CISA Cyber (@CISACyber) October 26, 2026

בפוסט שפרסמה CISA ברשת X, הבהירה הסוכנות: "הוספנו את פגיעויות PHP2Shell,‏ CVE-2026-109618 ו-CVE-2026-109619, לקטלוג האיומים המנוצלים שלנו (KEV). בקרו בקישור ויישמו צעדי מניעה כדי להגן על הארגון שלכם". במקביל, הסוכנות חייבה את כלל הגופים הפדרליים האזרחיים בארה"ב להחיל את העדכונים עד ל-29 באוקטובר.

> This is now confirmed RCE with usable memory disclosure, not just a crash followed by a suspicious process. The response delivered an 800 KiB decoded cookie dump, and a function address derived from that dump using the public exploit’s offsets appears in the subsequent execution payload. The client acknowledged the full response; the shell command then ran about 1.6 ms after the execution request’s final captured byte.

— Adel Ka (@0x4D31) October 24, 2026

הוכחות חותכות להשתלטות על השרתים

בתחילת השבוע עוד הועלו ספקות לגבי מורכבות הניצול המעשי של הפרצות, אולם בסוף השבוע הושגה הוכחה חותכת ליכולת התקיפה – עאדל כרימי, מוביל תחום הניטור והתגובה בחברת פרפלקסיטי (Perplexity), זיהה תקיפה מוצלחת נגד מערכת מלכודת (honeypot) וחשף ברשת איקס: "מדובר בהרצת קוד מרחוק מאומתת, הכוללת חשיפת זיכרון שמיש, ולא רק בקריסת מעבד". כרימי הסביר כי התקיפה חילצה פלט עוגיות מפוענח בנפח 800 קילובייט, ששימש לביצוע פקודות.

מרקוס האצ'ינס, חוקר איומים ראשי בחברת אקספל (Expel), חיזק את הדברים בציטוט ב-סייברסקיוריטי דייב (Cybersecurity Dive) וציין כי מדובר באישור האיכותי ביותר שנראה מאז התפרצות המשבר עבור שרתים המבוססים על תצורת Apache mod_php.

PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.

We are seeing early attacks emerging and are updating mitigations as new vectors show up.

This is a STOPGAP only. Patch as soon as @ThePHPF releases the update at 14:00 UTC today.

— Dane Knecht 🦭 (@dok2001) October 21, 2026

מענה זמני ואתגרי הבינה המלאכותית

נכון לעכשיו, הערכות חברות המחקר מצביעות על עשרות מיליוני שרתי PHP הנגישים לרשת שטרם עודכנו ונותרו חשופים. דיין קנכט, סמנכ"ל הטכנולוגיות של קלאודפלר (Cloudflare), ציין ברשת X כי חברתו פרסה כללי הגנה היקפיים במערכות ה-WAF שלה, אך הדגיש: "זהו מענה זמני בלבד, יש להחיל את טלאי האבטחה ברגע שהם משתחררים".

במקביל, כפי שדווח ב-TechCrunch, החולשות שנחשבו בעבר לבלתי ניתנות לניצול נחשפו לאחר שחוקרים בחברת קאליף (Calif) נעזרו במודלי בינה מלאכותית כדי לפענח דרך להפעילן.

התפתחות זו מחדדת את האתגר העצום של פרויקטי קוד פתוח, שנאלצים להתמודד עם כלי בינה מלאכותית המקלים על תוקפים לאתר כשלים ותיקים.