חשיפת חולשת PHP2shell: סכנה קריטית לאתרי WordPress

באוקטובר 2026, פגיעות קריטית הקשורה ל-⁦PHP⁩ הפכה לנושא חם בקרב מפעילי ומפתחי אתרים.

ההתמקדות הפעם היא בשתי נקודות תורפה המכונות ביחד '⁦PHP2shell⁩'.

אם פגיעויות אלו מנוצלות, תוקף עלול להפעיל קוד שרירותי מרחוק ללא צורך בכניסה. במילים אחרות, קיים סיכון שניתן לבצע מניפולציה זדונית באתרי אינטרנט או שרתים.

יתרה מכך, ניצול שתי הפגיעויות הללו כבר אושר. ב-26 באוקטובר 2026 (לפי שעון מקומי), הסוכנות לאבטחת סייבר ותשתיות של ארה"ב (CISA) הוסיפה את שני הפריטים הללו לקטלוג הפגיעויות המנוצלות הידועות (KEV) שלה. בעוד שה-IPA מצהירה כי לא זיהתה מקרי נזק כתוצאה מתקיפות ביפן, היא קוראת ליישם אמצעי הגנה.

• 'האם זה משפיע על ה-WordPress שאני משתמש בו?'

לאנשים רבים עשויים להיות שאלות כאלה.

במאמר זה נסביר הכל, החל מהסקירה הכללית של ⁦PHP2shell⁩ והסביבות המושפעות ועד לאמצעי הנגד שעל מפעילי אתרים כלליים לבדוק, באופן שקל למתחילים להבין.

• האם הגרסה שבשימוש היא הגרסה המתוקנת (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12) ומעלה

• אם אתה משתמש בשרת להשכרה, בדוק את ההנחיות של חברת השרתים. אם אתה מנהל את זה בעצמך, עדכן לגרסה המתוקנת

1. מהו ⁦PHP⁩ מלכתחילה?

⁦PHP⁩ היא שפת תכנות בשימוש נרחב להפעלת אתרים ושירותי אינטרנט.

לדוגמה, היא משמשת במצבים הבאים:

• הטמעת פונקציות רישום וכניסה לחברים

• הפעל ⁦CMS⁩ (מערכת לניהול ועדכון אתרים) כגון ⁦WordPress⁩

מפורסם במיוחד הוא ⁦WordPress⁩, המשמש ליצירת בלוגים ואתרי אינטרנט.

מכיוון ש-WordPress פועל באמצעות PHP, אם נמצאת פגיעות קריטית ב-PHP, הדבר עשוי להשפיע על אתרי WordPress בהתאם לסביבת השימוש.

2. מהו ה-"⁦PHP2shell⁩" המגמתי כרגע?

הנושא הפעם נוגע לשתי נקודות התורפה הבאות. ⁦CVE⁩ הוא מספר ניהול המוקצה לפרצות.

אלו הן פגיעויות הקשורות לטיפול בשגיאות במהלך מחסור בזיכרון ב-PHP ועיבוד בקשות.

שיטת ההתקפה המשלבת את שתי הפגיעויות הללו נקראת "⁦PHP2shell⁩".

החשש המיוחד הוא שזה עלול להוביל ל-⁦Remote Code Execution⁩ (⁦RCE⁩). במילים פשוטות, קיים סיכון שתוקף יוכל לבצע תהליכים לא מורשים בשרת מבחוץ.

אם תוכנה זדונית מופעלת על השרת, מידע עלול להיגנב או שהאתר עלול לעבור שינוי זדוני.

שים לב שהנזק בפועל שעלול להתרחש תלוי בתצורת השרת, הרשאות ואמצעי אבטחה אחרים.

3. אילו גרסאות ⁦PHP⁩ מושפעות?

על פי התראת ה-IPA (הסוכנות לקידום טכנולוגיות מידע, יפן) (שפורסמה ב-22 באוקטובר 2026 ועודכנה לאחר מכן), הגרסאות הבאות מושפעות.

• סדרת PHP 8.2: גרסאות שלפני 8.2.35 מושפעות. הגרסה המתוקנת היא 8.2.35

• סדרת PHP 8.3: גרסאות שלפני 8.3.36 מושפעות. הגרסה המתוקנת היא 8.3.36

• סדרת PHP 8.4: גרסאות שלפני 8.4.27 מושפעות. הגרסה המתוקנת היא 8.4.27

• סדרת PHP 8.5: גרסאות שלפני 8.5.12 מושפעות. הגרסה המתוקנת היא 8.5.12

יתרה מכך, לפי ⁦Wiz⁩, שהיה מעורב בחקירה, גרסאות מ-⁦PHP⁩ 5.4 ואילך מושפעות לפחות מאחת משתי הפגיעויות הללו.

אתרים שממשיכים להשתמש בגרסאות ישנות של ⁦PHP⁩ דורשים תשומת לב מיוחדת.

גרסאות PHP 8.1 ומטה הגיעו לסוף חייהן (EOL), וחלקן לא יקבלו תיקונים עבור פגיעות זו. במקרים כאלה, עליך לשקול מעבר לגרסה נתמכת של PHP. חברות אחסון או מפיצי Linux עשויים לספק גרסאות מתוקנות משלהם, לכן מומלץ לבדוק את ההודעות מהשירות שבו אתה משתמש.

במקרים בהם הגירה מיידית אינה אפשרית, ה-⁦IPA⁩ ממליץ לשקול אמצעי ביניים או הגבלות גישה, ואם קשה ליישם אמצעים יעילים, הם קוראים לשקול חסימת גישה חיצונית או השעיה זמנית של השירות.

4. האם גם על משתמשי ⁦WordPress⁩ לבדוק זאת?

לסיכום, מומלץ למשתמשי WordPress לבדוק גם את גרסת ה-PHP של האתר שלהם ואת סטטוס התמיכה של חברת השרתים שלהם.

בעיה זו אינה פגיעות ב-WordPress עצמו, אלא פגיעות במנוע ה-PHP הפועל על השרת. צוות הפיתוח של PHP מסביר שכל סביבת PHP המעבדת בקשות אינטרנט נמצאת בסיכון. ללא קשר לשימוש ב-WordPress, אתרים המריצים גרסאות PHP מושפעות עלולים להיות מטרה לתקיפה. עם זאת, רמת הסיכון בפועל תלויה בגרסת ה-PHP ובתצורת השרת.

יתרה מכך, עדכון ערכות נושא ותוספי WordPress בלבד אינו מהווה מענה מספק נגד פגיעות PHP זו.

ישנן שלוש נקודות שכדאי לבדוק:

1. ⁦PHP⁩ גרסה

בדוק אם הגרסה ⁦PHP⁩ שבה אתה משתמש כעת תוקנה.

2. סטטוס התמיכה של חברת האחסון

אם אתה משתמש בשרת אחסון (Shared Hosting), עליך לפעול לעדכון ה-PHP ולביצוע אמצעי אבטחה בהתאם להנחיות ספק השרתים.

3. ליבת WordPress, ערכות נושא ותוספים

מלבד פגיעות זו, לעיתים נמצאות בעיות אבטחה גם בליבת ה-WordPress ובתוספים. חשוב לשמור גם עליהם מעודכנים.

5. אמצעים קונקרטיים שתוכל לנקוט כבר עכשיו

אם אתה מפעיל אתר אינטרנט, נסה לבדוק את השלבים הבאים.

⁦STEP⁩ 1: בדוק את גרסת ⁦PHP⁩

אם אתה משתמש ב-⁦WordPress⁩, תוכל לבדוק זאת מלוח המחוונים.

• בדוק את גרסת ⁦PHP⁩ בקטע '⁦Server⁩'

התוכן המוצג עשוי להשתנות בהתאם לגרסה של ⁦WordPress⁩ שבה אתה משתמש ולפריסת המסך שלך.

⁦STEP⁩ 2: בדוק את המידע הרשמי מספק שרת ההשכרה שלך

אם אתה משתמש בשרת להשכרה, בדוק את האתר הרשמי או את ההודעות של השירות איתו אתה מתקשר.

לדוגמה, אם אתה משתמש בשירותים הבאים, אנא בדוק את פרטי האבטחה של כל חברה ואת מסך ההגדרות ⁦PHP⁩.

שיטת התגובה משתנה בהתאם לחברת השרתים.

⁦STEP⁩ 3: אשר את העדכון לגרסה המתוקנת

אם גרסת ⁦PHP⁩ שלך מושפעת, שקול לעדכן לגרסה המתוקנת.

עם זאת, עדכון PHP עלול לגרום לערכות נושא או לתוספים ישנים להפסיק לעבוד כראוי. לפני העדכון, בצע גיבוי ובדוק את ההנחיות מחברת השרתים או מהמפתח. מכיוון שהניצול כבר אושר במקרה זה, חשוב לא להתעכב זמן רב, גם אם נדרש מאמץ לצורך אימות התאימות.

אם אתה מנהל את השרת שלך, החל את התיקון ⁦PHP⁩ ולאחר מכן ודא שהאתר או האפליקציה שלך פועלים כרגיל.

6. כמו כן, היו מודעים לפגיעות נוספת שעדיין לא שוחרר לה תיקון

ב-23 באוקטובר 2026, ⁦PHP⁩ הכריז על פגיעות שלישית (⁦CVE-2026-115560⁩) נפרדת מ-⁦PHP2shell⁩.

פגיעות זו לא תוקנה בעדכוני ה-21 באוקטובר (8.2.35, 8.3.36, 8.4.27, 8.5.12). היא צפויה להיות מתוקנת במהדורה הרגילה הבאה. צוות PHP מסביר שהיא דורשת שילוב ספציפי של הגדרות ויישומים, כך שהסבירות לניצולה בפועל נמוכה.

כאמצעי ביניים, PHP ממליצה להגדיר את session.upload_progress.enabled ל-0 (מנוטרל). אם אתה מנהל את השרת בעצמך, שנה זאת בקובץ ה-php.ini או בהגדרות ה-PHP-FPM. זהו תיקון זמני עד ליישום הגרסה המתוקנת. עבור שתי בעיות ה-PHP2shell, שינויי הגדרות לבדם אינם מספיקים, לכן יש לתעדף עדכון לגרסה המתוקנת.

אם אתה משתמש בשרת אחסון, חברת השרתים תטפל בנושא. אנא בדוק את הסטטוס העדכני באתר הרשמי של PHP ובהודעות מספק השרתים שלך.

7. מה אם אני לא מנהל את ⁦PHP⁩ בעצמי?

לאחר שקראתם עד כאן, ייתכן שחלקכם חושבים: "אני לא מנהל את ⁦PHP⁩ בעצמי מלכתחילה."

למעשה, רוב מפעילי הבלוג הכלליים אינם צריכים לבצע מניפולציה ישירה של ⁦PHP⁩ בעצמם. אם אתה משתמש בשרת להשכרה, אתה יכול להגיב על ידי ביצוע מסך הניהול או ההדרכה הרשמית של חברת השרתים.

אם אינך יכול לשנות את הגרסה בעצמך, פנייה לתמיכה של חברת השרתים היא דרך אחת ללכת. כאשר מבצעים בירור, כדאי להעביר את הדברים הבאים.

אני מעוניין לבדוק את מצב העדכונים של השרת שאני משתמש בו ביחס לפגיעויות PHP2shell (CVE-2026-109618, CVE-2026-109619) ולפגיעות הקשורה ל-session.upload_progress (CVE-2026-115560). האם גרסת ה-PHP שבשימוש עודכנה לגרסה המתוקנת, והאם נדרשת פעולה כלשהי מצדי כמשתמש?

אין צורך להכריח את עצמך לשנות את הגדרות השרת. ראשית, חשוב לבדוק את המידע הרשמי.

8. סיכום: ראשית, בדוק את סטטוס האתר שלך

בעיה זו ⁦PHP2shell⁩ היא פגיעות קריטית הקשורה לאבטחת אתרים ושרתים. אתרים שעדיין מריצים גרסאות ישנות יותר של ⁦PHP⁩, במיוחד, צריכים להיות זהירים.

נקודות המפתח מסוכמות כך:

• ⁦PHP⁩ משמש להפעלת אתרים כגון ⁦WordPress⁩

• ⁦PHP2shell⁩ קשור להתקפות המשלבות שתי נקודות תורפה קריטיות

• ניצול הפגיעות כבר אושר, ושוחררו גרסאות מתוקנות עבור גרסאות ה-PHP המושפעות

• משתמשי WordPress צריכים לבדוק גם את מצב ה-PHP בצד השרת

• בנפרד, גרסה מתוקנת עבור פגיעות שלישית (⁦CVE-2026-115560⁩) מתוכננת להשתחרר בעדכון הרגיל הבא

• גבה לפני העדכון ופעל לפי ההנחיות של חברת השרתים

אל תחשוב, "אני לא מומחה, אז זה לא נוגע לי"; במקום זאת, התחל בבדיקת המידע הרשמי של השרת שבו אתה משתמש.

כדי להפעיל אתר בצורה מאובטחת, חשוב לעדכן תוכנה באופן שוטף ולעקוב אחר מידע בתחום האבטחה.

⁦Reference Information⁩

• IPA: בנוגע לאמצעי הגנה מפני פגיעות PHP (CVE-2026-109618, CVE-2026-109619: PHP2shell)

• ⁦IPA⁩: לגבי השחרור המתוכנן של עדכוני אבטחה ⁦PHP⁩

• ⁦PHP⁩ רשמי: ייעוץ אבטחה (21 באוקטובר 2026)

• ⁦PHP⁩ רשמי: מידע לגבי ⁦CVE-2026-115560⁩ (23 באוקטובר 2026)

*מאמר זה מבוסס על מידע שפורסם נכון ל-30 באוקטובר 2026. לקבלת הסטטוס העדכני, אנא בדוק את המידע הרשמי מהאתר הרשמי של ⁦PHP⁩ ומחברת השרתים בה אתה משתמש.