חברת האבטחה Wiz Research חשפה קבוצה של נקודות תורפה קריטיות במנוע ה-PHP הליבה ב-21 באוקטובר 2026, והזהירה כי הפגמים - המכונים ביחד PHP2Shell - מאפשרים ביצוע קוד מרחוק לא מאומת וחשיפת זיכרון בסגנון Heartbleed בתוכנה שמניעה כ-70% מכל אתרי האינטרנט. פרויקט ה-PHP שחרר תיקונים באותו יום, ו-Wiz קורא לעדכונים מיידיים ברחבי הבסיס המותקן העצום של האינטרנט.

PHP היא עמוד השדרה של חלק גדול מהאינטרנט: הוא מניע את וורדפרס, ג'ומלה, דרופל ומדיה ויקי, התוכנה שמפעילה את ויקיפדיה. באופן מכריע, הבאגים החדשים שנחשפו חיים במנוע הליבה של PHP, לא באף אפליקציה שנבנתה עליו, כלומר אתרים יכולים להיחשף גם כאשר קוד האפליקציה שלהם מאובטח. For more context on this story, see our ongoing AI trends.

מהן הפגיעויות

על פי הכתבה הטכנית של Wiz על ידי החוקרים שגיא צדיק, שיר תמרי, ניר אופלד ותומר שוורץ, כל הבאגים שנחשפו הם בעיות בטיחות זיכרון שמקורן באופן שבו PHP מטפלת בשגיאות קטלניות במהלך עיבוד הבקשות - במיוחד שגיאות מחוץ לזיכרון. בקשה שקרסה עלולה להותיר מאחור מצב PHP פנימי פגום, ובקשה מאוחרת יותר או עובד שעושה שימוש חוזר במצב המעופש הזה יכול לעורר חשיפת זיכרון או השחתת זיכרון.

הממצאים קובצו תחת שני CVEs עם חומרה מקסימלית של CVSS 9.2:

  • CVE-2026-109618 - שימוש ללא סידורי העלאה-התקדמות שתוקף יכול למנף אותו לגילוי מרחוק של תהליך-זיכרון, ובשרשרות שהדגימו, ביצוע קוד מלא מרחוק. Wiz הדגים חשיפה לא מאומתת של זיכרון עובד PHP ו-RCE קדם אימות ב-WordPress, Drupal וג'ומלה.
  • CVE-2026-109619 - שגיאה קטלנית במעקב אחר שימוש-אחרי ללא שימוש בשילוב עם בלבול מסוג OPcache, הוכיחו גם שהם מניבים ביצוע קוד מרחוק לפני אימות ב-Drupal וב-WordPress.

זיכרון שתוקפים יכולים לקרוא עשוי להכיל סיסמאות, אסימוני אימות, מפתחות API ואישורים השייכים לבקשות אחרות או לשרת עצמו, אמר Wiz. כל גרסת PHP שפורסמה בעשור האחרון - חוזרת ל-PHP 5.4 - מושפעת לפחות מאחת מהפגיעויות, והחברה טוענת כי אלו מדורגים בין הפגמים החמורים ביותר שנמצאו אי פעם ב-PHP.

איפה AI נכנס

הטענה המשמעותית ביותר בדו"ח של Wiz אינה קשורה כלל ל-PHP - אלא על מה שדגמי בינה מלאכותית גבולית עשו כדי לנצל את הפיתוח.

הפגמים הבסיסיים, כותב וויז, היו קיימים במשך עשרות שנים, אך הוכחת הניצול דרשה "שרשרת שלבים מורכבת במיוחד, בקצה של מה שחוקרים אנושיים יכולים להשיג בפועל". הניצול נאלץ לשרשר פגמים מרובים ולהתאים לפריסת הזיכרון של כל יעד באמצעות בדיקות חוזרות ונשנות וניפוי באגים.

מודלים של Frontier AI, אומרת החברה, הפחיתו באופן משמעותי את המחסום הזה - "הפיכת פגם רב שנים לניצול" - ואפשרו לצוות של Wiz לפתח ולהתאים ניצול עבודה על פני יישומים מרובים בשעות ולא בשבועות.

"ככל שהזמן והמומחיות הנדרשים לעבודה זו פוחתים, ייתכן שהמורכבות כבר לא תספק מחסום משמעותי, וישנה את האופן שבו אנו מגדירים מה פגיע בפועל", כתבו החוקרים.

נקודת מפנה בעידן הבינה המלאכותית?

Wiz ממסגרת במפורש את PHP2Shell לצד שני רגעי קו פרשת מים קודמים באבטחת אינטרנט: Heartbleed ב-2014, שחשפה את שבריריות התשתית המשותפת המאבטחת את האינטרנט, ו-Log4Shell ב-2021, שחשפה כיצד תלות עמוקה בתוכנה יוצרות חשיפה נרחבת. החברה טוענת ש-PHP2Shell עשויה לסמן נקודת מפנה דומה - הפעם ממחישה כיצד AI משנה את יכולת הניצול המעשית של חולשות ידועות.

המסגור הזה חשוב מעבר ל-PHP. פגיעויות תיאורטיות שהיו בבטחה מחוץ להישג יד מכיוון שהניצול שלהן היה קשה מדי, איטי מדי או מיוחד מדי עשויות להיות כעת בהישג ידם של תוקפים בעלי משאבים טובים חמושים בכלי בינה מלאכותית - שינוי בעל השלכות ברורות על תקציבי ההגנה, קצבי תיקון ולוחות זמנים של חשיפה ברחבי תעשיית התוכנה.

תיקון מתואם בין תעשיות

הגילוי היה מתואם. Wiz הודתה לצוות PHP ול-OpenAI על עבודתם על גילוי, תיאום ואימות תיקון, וציינה שגם OpenAI וגם PHP פרסמו את הכתבות הטכניות שלהם על ההיסטוריה ותהליך החשיפה של הפגיעות.

קבוצה חוצת תעשיות - כולל Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft ו-Vercel - הכינה הנחיה והנחות מהקופסה עבור לקוחות שאינם יכולים לבצע תיקון מיידי. Cloudflare הודיעה בנפרד ב-21 באוקטובר כי היא פרסה הגנות WAF מפני פגיעויות PHP עבור לקוחותיה.

מה בעלי אתרים צריכים לעשות

העצה מוויז היא בוטה: תיקון מיד. פרויקט PHP פרסם תיקונים עבור פגיעויות בטיחות הזיכרון ב-21 באוקטובר 2026, וכל פריסת PHP נתמכת צריכה להתעדכן בהקדם האפשרי.

ארגונים שאינם יכולים לתקן מיד צריכים ליישם את ההקלות שפורסמו על ידי ספקי CDN, אירוח או WAF שלהם, שכמה מהם שלחו כללים המכוונים לרשתות הניצול ביום הראשון. מנהלי ציים של וורדפרס, דרופל וג'ומלה צריכים להתייחס לזה כאל מחזור תיקון עדיפות: Wiz הדגימה ביצוע קוד מרחוק לפני אימות מול כל שלוש הפלטפורמות, ונתיבי הקוד הפגיעים קיימים ללא קשר למידת התחזוקה של היישומים שמעליהם.

הלקח העמוק יותר עשוי להיות הלקח ש-Wiz עצמה הפיקה: כאשר בינה מלאכותית יכולה לדחוס חודשים של הנדסת ניצול לשעות, הגדרת העבודה של התעשייה של "ניתן לניצול מעשי" - ואיתה, המשמעות של לוחות זמנים של תיקון אחראי - פשוט השתנתה.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →