חולשות קריטיות ב-PHP: מה בעלי אתרי WordPress צריכים לבדוק עכשיו

ב-22 באוקטובר 2026 פרסמתי את המאמר "Critical PHP Vulnerabilities and What WordPress Users Should Be Aware Of". מאמר זה סיכם נקודות לאימות בעקבות ההכרזה על שתי פגיעויות ב-PHP, התשתית שמפעילה את WordPress, שעלולות לאפשר הרצה של תוכנות לא מורשות מבחוץ.

בזמן הפרסום, ה-IPA (סוכנות לקידום טכנולוגיית מידע) של יפן הסבירה בהודעה מקדימה שפורסמה ביום הקודם, 21 באוקטובר, כי "בשלב זה, ה-IPA לא אישר התקפות המנצלות זאת". בשבוע שחלף מאז, המצב השתנה בכמה היבטים, כולל העובדה שהניצול אושר.

מאמר זה מארגן את השינויים מאז המאמר הקודם בהתבסס על מידע זמין החל מה-1 בנובמבר 2026. לא אוסיף השערות לנקודות שלא פורסמו ואציין מתי משהו "אינו מפורסם ברבים". לחיצה על מספרים כמו [1] בטקסט תפתח את דף המקור.

סקירת המאמר הקודם

⁦PHP⁩ היא שפת תכנות הפועלת על שרתי אינטרנט. וורדפרס בנויה עם ⁦PHP⁩, ובכל פעם שמוצג אתר ⁦WordPress⁩, ⁦PHP⁩ פועל על השרת.

ב-21 באוקטובר 2026, המפתחים של ⁦PHP⁩ (קבוצת ⁦PHP⁩) פרסמו גרסאות שתיקנו שתי פרצות קריטיות (⁦CVE-2026-109618⁩, ⁦CVE-2026-109619⁩). פגיעות היא פגם בתוכנה שעלול לשמש להתקפות. ⁦CVE⁩ הוא מספר נפוץ ברחבי העולם המוקצה לכל פגיעות, המשמש לאימות שמתייחסים לאותה פגיעות.

שני הנושאים דורגו בציון 9.2 ב-CVSS, סולם נפוץ המבטא חומרה מ-0 עד 10 [10], מה שמציב אותם בקטגוריה החמורה ביותר. הגרסאות המתוקנות הן PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. מפתחי PHP מצהירים כי "אין פתרון חלקי, ועדכון הוא האפשרות הבטוחה היחידה" [4].

פגיעות זו אינה בליבת WordPress עצמה, אלא ב-PHP שמריץ את WordPress. האתר הרשמי של WordPress מציין: "פגיעות זו אינה ספציפית ל-WordPress", ומוסיף: "כל השרתים המארחים יישומי PHP מושפעים" [9]. מכיוון ש-WordPress פועל גם הוא על PHP, גם אתרי WordPress מושפעים. אמצעי הנגד הוא עדכון PHP, ולא עדכון WordPress; הם מייעצים שאין צורך לעדכן את WordPress בשל בעיה זו, ואין תכנון לעדכון כזה [9].

ארגונים ומונחים מעורבים

לאחר המאמר הקודם, כמה ארגונים מקומיים ובינלאומיים פרסמו הודעות בנוגע לפגיעות זו. תחילה אבהיר את עמדותיהם.

• IPA (Information-technology Promotion Agency): סוכנות מנהלית עצמאית תחת סמכות השיפוט של משרד הכלכלה, המסחר והתעשייה היפני, הפועלת לחיזוק אמצעי אבטחת מידע. הם מוציאים התראות בנוגע לפגיעויות קריטיות.

• ⁦JPCERT/CC⁩ (⁦JPCERT⁩ ⁦Coordination Center⁩): ארגון שמקבל דיווחים על נזקי מתקפת סייבר ב-⁦Japan⁩, תומך בתגובות ומוציא התראות. הם מתארים את עצמם כ"ארגון ניטרלי בלתי תלוי בסוכנויות או חברות ממשלתיות ספציפיות" [7] .

• CISA (Cybersecurity and Infrastructure Security Agency): סוכנות ממשלתית של ארצות הברית.

• קטלוג KEV: רשימה שמפורסמת על ידי CISA של פגיעויות שנוצלו בפועל (KEV מייצג Known Exploited Vulnerabilities). אסביר זאת בפירוט רב יותר בהמשך.

• קוד הוכחת מושג: תוכנית שנועדה להדגים שניתן לנצל פגיעות. ברגע שהוא פומבי, הוא מיושם מחדש בקלות להתקפות.

התפתחויות נוספות

בהתמקדות בעיקר בתקופה מאז פרסום המאמר הקודם ב-22 באוקטובר, רשמתי את ההודעות הרשמיות בסדר כרונולוגי. התאריכים מבוססים על אלה שצוינו בכל הודעה, כאשר השעה ⁦US⁩ מצוינת רק כאשר צוין.

• 21 באוקטובר: מפתחי PHP שחררו גרסה מתוקנת [4]. עבור גרסאות סוף החיים של PHP 7.4, 8.0 ו-8.1, הם סיפקו תיקונים מינימליים למי שבונה את PHP בעצמו מקוד המקור [1].

• 22 באוקטובר : ה-⁦IPA⁩ ו-⁦JPCERT/CC⁩ פרסמו כל אחד התראות. ה-⁦IPA⁩ קבע כי השילוב של שני הנושאים מכונה "⁦PHP2shell⁩" [5] . המאמר הקודם פורסם באותו יום.

• 23 באוקטובר: מפתחי PHP הוציאו התראה לגבי פגיעות נפרדת (CVE-2026-115560) הקשורה לתכונת התקדמות העלאת הסשן (session upload progress) [2].

• 26 באוקטובר: המפתחים ⁦PHP⁩ בנו מחדש ושחררו את הגרסה ⁦Windows⁩ של ⁦PHP⁩ כדי לתקן פגיעות (⁦CVE-2026-111497⁩) בספריית הדחיסה המצורפת ⁦Brotli⁩ [3] .

• 26 באוקטובר (שעון ארה"ב): CISA הוסיפה את שני הפריטים לקטלוג ה-KEV שלה [8].

• 27 באוקטובר: ה-⁦IPA⁩ עדכנה את ההתראה שלו והוסיפה כי שני הפריטים "נרשמו כחולשות מנוצלות" בקטלוג ⁦KEV⁩ [5] .

• 29 באוקטובר: ⁦JPCERT/CC⁩ עדכנה את ההתראה שלו, והוסיפה דיווחים על התקפות על מוצרי חומת אש [6] .

האם אושר ניצול?

ההבדל המשמעותי ביותר מהמאמר הקודם הוא שהניצול אושר. הבסיס לכך הוא שתי הכרזות: הרישום בקטלוג KEV של CISA בארה"ב ודיווחים על התקפות על מוצרי חומת אש. כל אחד מהם יוסבר בסעיפים הבאים.

JPCERT/CC מצהיר כי "פורסמו קודים רבים של הוכחת היתכנות (Proof-of-concept) הטוענים ליכולת ניצול של פגיעות זו, והיו דיווחים עקביים על תעבורה שנצפתה ומנסה לנצל פגיעות זו" [6]. מצד שני, הוא מציין כי האם ניתן להריץ קוד שרירותי בפועל באמצעות קוד הוכחת היתכנות "תלוי בתנאים כגון גרסת PHP, סביבת ההרצה ופריסת הזיכרון, ודורש התאמות לפי הסביבה" [6].

לגבי המצב המקומי, ה-IPA קבע בעדכון שלו מ-27 באוקטובר כי "ה-IPA לא זיהה מקרי נזק מתקיפה בתוך המדינה" [5]. בעוד שעדויות לניצול אושרו על ידי CISA בארצות הברית, לא פורסמו בשלב זה מקרי נזק ביפן.

יתרה מכך, בהכרזות רשמיות, המקרה היחיד שבו מצוינת בבירור הסביבה הספציפית שנוצלה הוא הדוגמה של מוצרי חומת אש, שבה נדון בהמשך. נכון ל-1 בנובמבר 2026, לא פורסמו מקרים של התקפות על אתרי WordPress.

מה זה אומר להיות רשום בקטלוג ⁦KEV⁩?

כדי להתווסף לקטלוג KEV יש לעמוד בשלושה תנאים: החזקה במספר CVE, קיום ראיות לניצול, וקיום אמצעי נגד ברורים [8]. במילים אחרות, רישום בקטלוג KEV משמעו שישנן ראיות לכך שהפגיעות שימשה בהתקפות בפועל.

CISA דורשת מסוכנויות אזרחיות של הממשל הפדרלי בארה"ב לתת עדיפות לתיקון פגיעויות המופיעות בקטלוג KEV הנמצאות בהתקנים החשופים לאינטרנט, אשר ניצולן יאפשר שליטה מלאה במכשיר [8]. היא גם ממליצה לארגונים אחרים לתעדף תיקון פגיעויות המופיעות בקטלוג KEV [8].

התקפות על מוצרי חומת אש

⁦PHP⁩ משמש לא רק באתרי אינטרנט אלא גם בתוך מוצרים כגון ציוד רשת. ⁦JPCERT/CC⁩ מציין גם שמוצרים המשתמשים ב-⁦PHP⁩ עשויים להיות מושפעים [6] . תפקידן של חומות אש והסיבות לכך שחומות אש עצמן הופכות למטרה להתקפות מוסברות במאמר "מהי חומת אש? | ⁦Roles⁩, סוגים וסיבות מדוע ציוד אבטחה בעצמו הופך יעד להתקפה".

ב-29 באוקטובר, JPCERT/CC הוסיף כי היו דיווחים על עקבות המעידים על פריצה מוצלחת בגרסאות ספציפיות של מוצר חומת אש מסוים [6]. על פי אותו דוח, תוקפים פיתחו קוד ניצול עבור כל גרסה של המוצר על ידי שילוב של פגיעות זו עם פגיעות של הסלמת הרשאות בליבת לינוקס [6]. הסלמת הרשאות היא המעבר ממצב בעל הרשאות מוגבלות למצב שבו ניתן להפעיל את המכשיר כמנהל מערכת. הדוח מציין גם כי אושרו עקבות של ניסיונות להתפשט לרשת הפנימית תוך שימוש במכשיר שנפגע כבסיס [6]. שם המוצר אינו מצוין בהתראת JPCERT/CC.

באותו יום, חטיבת המחקר של יצרנית חומות האש ⁦Palo Alto Networks⁩, ⁦Unit⁩ 42, ציינה בייעוץ האבטחה שלה כי ⁦PHP2Shell⁩ מנוצל כנגד ממשק הניהול של חומת האש של החברה ⁦OS⁩ (⁦PAN-OS⁩ ) החשופה לאינטרנט [10] . לגבי הדו"ח של חברת המחקר שצוטט על ידי ⁦JPCERT/CC⁩, היא ציינה שהיא אימתה באופן עצמאי את הכלים של אותו תוקף ואישרה את תוצאות הדו"ח [10] .

לפי Unit 42, ממשק הניהול אינו חשוף לאינטרנט כברירת מחדל [10], והמושפעים היו התקנות שבהן ממשק הניהול הוגדר להיחשף לאינטרנט, המהוות כ-0.02% מכלל ההתקנות ברחבי העולם [10]. הם מציינים כי משתמשים שהחילו את התיקון ל-PAN-OS אינם מושפעים [10].

נקודות הערה נוספות שפורסמו

בנוסף לשני התיקונים, המפתחים של ⁦PHP⁩ פרסמו גם את הנקודות הבאות.

• הגדרות סשן (CVE-2026-115560): צוין כי בעיה זו מתרחשת רק בשילוב של הגדרות ותוכניות לא סטנדרטיות, והסבירות להתרחשותה בפועל נמוכה [2]. יתרה מכך, כדי למנוע לחלוטין את הנתיב להרצת תוכנה מרחוק, הם ממליצים להגדיר "session.upload_progress.enabled=0" עד לשחרור הגרסה המתוקנת הבאה [2]. הגדרה זו סופקה גם כהקלה עבור CVE-2026-109619, אחת משתי הבעיות מה-21 באוקטובר, ולא נדרשת פעולה נוספת אם כבר הוגדרה [2]. עם זאת, מפתחי PHP מצהירים כי הגנות כאלה מונעות רק נתיבי תקיפה ספציפיים, והפתרון המלא היחיד הוא עדכון [1].

• גרסת Windows של ⁦PHP⁩ (⁦CVE-2026-111497⁩): שוחררה גרסה מחודשת עבור ⁦Windows⁩ (כגון 8.5.12-1) [3] . זה משפיע על פונקציית התקשורת ⁦PHP⁩ (⁦cURL⁩) כאשר ההגדרה לפירוק אוטומטי של נתונים שהתקבלו מופעלת. הגדרה זו מושבתת כברירת מחדל, אך ייתכן שהיא מופעלת בצד התוכנית [3] .

• שיטות הרצה בסיכון גבוה: מפתחי PHP מצהירים שהסיכון הגבוה ביותר קיים עם mod_php, שיטה להרצת PHP בתוך שרת אינטרנט (Apache) [1]. עם זאת, ההשפעה אינה מוגבלת ל-mod_php והיא משתרעת על כל סביבות ה-PHP המעבדות בקשות אינטרנט, כגון PHP-FPM [1].

מה השתנה מאז הפעם האחרונה

מספר נקודות עודכנו על סמך מידע שנלמד לאחר המאמר הקודם.

• ניצול: בעבר הסביר ה-IPA כי לא אישר ניצול כלשהו. הפעם, CISA הוסיפה את הפגיעות לקטלוג KEV, ואושרו עדויות לניצול. נכון ל-27 באוקטובר, ה-IPA אינו מודע למקרי נזק ביפן.

• היקף ההשפעה: בעבר, הגרסאות המושפעות לא צוינו. ה-IPA, בהסתמך על מידע מ-Wiz שסייע במחקר, קובע כי PHP 5.4 וגרסאות מאוחרות יותר מושפעות לפחות מאחת משתי הבעיות [5]. גרסאות מתוקנות שוחררו עבור סדרות 8.2 עד 8.5, וה-IPA מציין כי התמיכה ב-PHP 8.1 ומטה הסתיימה, ולכן תיקונים אלו לא יסופקו [5].

• ⁦PHP⁩ מוצרים פנימיים : בעבר, ההתמקדות הייתה באתרי אינטרנט. הפעם דווח על התקפות על מוצרי חומת אש.

• מה לעשות לאחר עדכון: בפעם הקודמת הזכרתי עדכון, גיבוי ובדיקת פעילות. מאז ההודעה ב-22 באוקטובר, JPCERT/CC קורא לחקירת סימני פריצה בנוסף להחלת הגרסה המתוקנת. המאמר הקודם שלי לא נגע בנקודה זו.

מה ידוע ומה לא ידוע

מקטלג את המידע שנאסף עד כה בהתבסס על אם הוא הוכרז בפומבי, אנו מקבלים את הדברים הבאים.

מה ידוע מהודעות רשמיות:

• שוחררה גרסה מתוקנת, ועדכון הוא הפתרון הבסיסי

• ה-CISA האמריקאית רשמה זאת כפגיעות עם ניצול מאושר