שלישי, 21 באוקטובר, 17:00 שעון ישראל · המחשה
צוות האבטחה של PHP מפרסם עדכון חירום. בהולנד אתרים ממשלתיים יורדים מהרשת לכמה שעות, ליתר ביטחון. בארה"ב CISA, סוכנות הסייבר הפדרלית, דורשת לעדכן מיד. בעלת קליניקה בתל אביב סוגרת את היום, ולא שמעה על זה כלום. האתר שלה רץ על PHP 8.1.
בשעה 17:20 מגיעה אליה הודעה: "יצאה פרצה קריטית בתוכנה שהאתר שלך רץ עליה. הגרסה שלך כבר לא מקבלת עדכונים רגילים. גיבוי כבר מוכן, ובדקתי את המעבר לגרסה מתוקנת על עותק של האתר. לעדכן הלילה?"
ב־21 באוקטובר 2026 נחשפה פרצה חמורה שנוגעת לכל אתר וורדפרס בעולם. היא לא נמצאת בוורדפרס עצמו, אלא ב־PHP, התוכנה שכל אתר וורדפרס רץ עליה. ביום החשיפה כמעט כל גרסת PHP מ־5.4 והלאה הייתה פגיעה, כולל כל הגרסאות שוורדפרס תומך בהן. הפרצה, שקיבלה את הכינוי PHP2Shell, מאפשרת לתוקף להריץ קוד על השרת של האתר, בלי שם משתמש ובלי סיסמה. במאמר נסביר מה קרה, איך בודקים אם האתר שלכם עדיין חשוף, ומה סוכן AI שמחובר לאתר היה עושה בשבילכם עוד לפני שידעתם שיש בעיה.
בקצרה
- מה קרה: שתי פרצות ב־PHP עצמה (CVE-2026-109618 ו־CVE-2026-109619), בחומרה 9.2 מתוך 10. תוקף יכול להשתלט על השרת בלי להתחבר.
- מי חשוף: כל אתר שרץ על PHP בגרסה שלא עודכנה, כולל וורדפרס, ג'ומלה ו־WooCommerce. עדכון של וורדפרס או של התוספים לא מתקן את הפרצה.
- מה עושים: בודקים את גרסת ה־PHP. הגרסאות המתוקנות הן 8.5.12, 8.4.27, 8.3.36 ו־8.2.35. גרסה 8.1 ומטה כבר לא מקבלת עדכונים רגילים, וצריך לעבור לגרסה חדשה.
- הלקח: החלון בין פרסום פרצה לניסיונות פריצה נמדד בשעות. סוכן AI שמחובר לאתר בודק, מגבה ומעדכן בזמן הזה, גם כשבעל העסק לא יודע מה זה PHP.
מה זה PHP2Shell, בשפה פשוטה
תחשבו על האתר שלכם כמו על רכב. וורדפרס, התבנית והתוספים הם המרכב, הלוח והמושבים: מה שרואים. PHP היא המנוע שמתחת למכסה. כל פעם שמישהו נכנס לאתר, PHP מריצה את הקוד ובונה לו את העמוד.
PHP2Shell היא תקלה במנוע עצמו. התוקף שולח לאתר בקשה אחת שנבנתה במיוחד, והיא משאירה את הזיכרון של PHP במצב שבור. מהמצב הזה אפשר להריץ קוד על השרת. לפי ההודעה של PHP, בהתקנות מסוג mod_php ההתקפה יכולה לעבוד עוד לפני שקוד האתר רץ. כלומר, לא משנה כמה וורדפרס שלכם מעודכן ואיזה תוסף אבטחה התקנתם, כי המנוע נפרץ לפני שהם מתחילים לעבוד.
ומה תוקף עושה עם שרת שהוא שולט בו? משתיל קוד זדוני באתר, גונב פרטי לקוחות, משתמש בשרת לשליחת ספאם, או פשוט משבית אותו. לפי The Hacker News, הפרצה מאפשרת גם לקרוא את הזיכרון של השרת, ובו עלולים להיות סיסמאות, מפתחות API ופרטי תשלום של בקשות אחרות. גם בלי להשתלט על השרת.
מקורות: W3Techs (23.10.2026), הודעת האבטחה של PHP (CVSS v4.0), Help Net Security על נתוני Amazon Threat Intelligence.
למה הפעם זה חמור יותר מפרצה רגילה
פרצות מתגלות כל שבוע. רובן בתוסף מסוים או בתבנית מסוימת, ופוגעות רק במי שמשתמש בהם. PHP2Shell שונה בארבעה דברים:
- היא בבסיס, לא בתוסף. לפי PHP, כל התקנה שמשרתת אתרים מושפעת: PHP-FPM, Apache, LiteSpeed ועוד. הקוד הבעייתי נמצא ב־PHP יותר מעשור.
- לא צריך סיסמה. אין צורך בחשבון באתר, בטופס מסוים או בתוסף פגיע. מספיקה בקשה מבחוץ.
- התוקפים הקדימו את התיקון. Amazon רשמה ניסיון ניצול ב־17 באוקטובר, ארבעה ימים לפני הפרסום. פרטים דלפו לפני המועד, ו־PHP הקדימה את התיקון ביום. ביום הפרסום עצמו, חברת watchTowr דיווחה על ניסיונות ניצול פעילים בתוך שעות.
- AI קיצר את הדרך לפריצה. לפי The Hacker News, החוקרים שגילו את הפרצות (Wiz, Calif וצוות Codex Security של OpenAI) אמרו שמודלי AI עזרו להם להפוך את הבאג להתקפה עובדת. חוקר אחד עשה בשבוע עבודה שהייתה לוקחת לצוות חודשים. התוקפים משתמשים באותם כלים.
ויש עוד בעיה, שקטה יותר. גם אחרי התיקון, הרבה אתרים לא יקבלו אותו:
אתרי PHP לפי גרסה ראשית
מקור: W3Techs, 23.10.2026. לגרסאות 7 ו־5 אין תיקון רשמי. PHP פרסמה תיקונים מינימליים בקוד מקור ל־7.4, 8.0 ו־8.1, שמיועדים למי שבונה PHP בעצמו. גם בתוך PHP 8, רק 8.2 ומעלה מקבלות עדכון רגיל.
בערך שליש מאתרי PHP רצים על גרסה 7 או 5. אצל רובם בעל העסק לא יודע את זה. האתר נבנה לפני חמש או שמונה שנים, הוא עובד, ואף אחד לא נגע במנוע מאז.
עדכנתי וורדפרס. זה לא מספיק?
לא. זו הטעות הכי נפוצה שנראה בימים הקרובים, ו־The Hacker News מדגישים אותה במפורש: עדכון של אפליקציה כמו וורדפרס לא מעדכן את PHP. את PHP מספקים חברת האחסון, השרת או קובץ ההתקנה של השרת.
עדכון וורדפרס ותוספים
נעשה מתוך לוח הבקרה של האתר, בלחיצה.
- סוגר פרצות בתוספים ובתבנית
- לא נוגע בגרסת ה־PHP
- לא מגן מ־PHP2Shell
עדכון PHP
נעשה בשרת או בפאנל של חברת האחסון.
- סוגר את PHP2Shell
- מעבר בין גרסאות ראשיות (למשל 7.4 ל־8.3) יכול לשבור תוספים ישנים
- צריך גיבוי ובדיקה לפני
החדשות הטובות: חלק מחברות האחסון כבר טיפלו. SiteGround, למשל, כתבה שהלקוחות שלה מוגנים ושאין צורך לעשות דבר. אבל זה לא נכון לכל חברה, ובטח לא לשרת פרטי או ל־VPS שמישהו הקים לכם לפני כמה שנים ושכח.
איך בודקים אם האתר שלכם חשוף לפרצת PHP
עברו על הרשימה. זה לוקח כרבע שעה, ולא צריך לדעת לתכנת.
בדיקת PHP2Shell לאתר שלכם
אם סימנתם את הכול, אתם במצב טוב. אם נתקעתם כבר בסעיף הראשון, זה בדיוק המקרה שבשבילו כתבנו את המשך המאמר.
איך סוכן AI היה מטפל ב־PHP2Shell בלי שתצטרכו לדעת מה זה PHP
רוב בעלי העסקים לא קוראים התראות של CISA. הם לא יודעים איזו גרסת PHP רצה אצלם, ואין סיבה שידעו. בעלת קליניקה צריכה לטפל במטופלים, לא במנוע של האתר.
סוכן AI שמחובר לאתר, לשרת ולחשבון האחסון עובד אחרת. הוא כבר יודע מה רץ אצלכם, ולכן כשיוצאת פרצה הוא לא צריך לברר מאפס. הנה איך זה נראה ביום הפרסום. הדוגמה להמחשה:
17:05 · הפרצה מתפרסמת
זיהיתי הודעת אבטחה קריטית של PHP. בדקתי את השרת שלך:
- האתר רץ על PHP 8.1, שכבר לא מקבלת עדכונים רגילים
- הגיבוי האחרון מאתמול בלילה. הרצתי עכשיו גיבוי נוסף ובדקתי שהוא נפתח
- וידאתי שכללי ההגנה הזמניים של Cloudflare פעילים על האתר
17:20 · בדיקה על עותק
העתקתי את האתר לסביבת בדיקה והעברתי אותה ל־PHP 8.4.27. עמוד הבית, טופס יצירת הקשר ומערכת התורים עובדים. תוסף אחד ישן הציג אזהרה, ויש לו גרסה חדשה שמתאימה.
✓ גיבוי מוכן · ✓ נבדק על עותק · ממתין לאישור שלך
לא הבנתי הכול, אבל אם בדקת, תעדכן.
23:00 · שעה שקטה באתר
עדכנתי את התוסף ועברתי ל־PHP 8.4.27 באתר החי. האתר היה זמין כל הזמן.
✓ PHP מעודכן · ✓ 6 עמודים מרכזיים נבדקו · ✓ פנייה בטופס הגיעה למייל
23:40 · בדיקה אחרונה
עברתי על יומני השרת מ־17 באוקטובר והלאה. לא מצאתי סימנים לניסיון ניצול. רשמתי את כל מה שנעשה ביומן האתר. מחר בבוקר אבדוק שוב שהכול יציב.
המחשה. בשיחה אמיתית הסוכן מתאים את הבדיקות לאתר שלכם, ופועל רק במסגרת ההרשאות שהגדרתם.
שימו לב מה בעלת העסק עשתה בכל הסיפור: קראה שתי הודעות וענתה במשפט אחד. היא לא למדה מה זה PHP, לא חיפשה מדריכים ולא חיכתה שאיש מקצוע יתפנה בשבוע הבא.
מה הסוכן עושה לבד ומה מחכה לאישור
את זה מגדירים מראש, פעם אחת. ההגדרה שאנחנו ממליצים עליה לעדכוני PHP:
עדכון אבטחה ל־PHP עם סוכן AI
- מזהה ובודקעוקב אחרי הודעות אבטחה, ובודק אם הגרסה שלכם פגיעה. לבד, בכל רגע.
- מגבה ובודק על עותקגיבוי מלא, ואז העדכון על סביבת בדיקה. לבד.
- האישור שלכםבמעבר בין גרסאות ראשיות. תיקון אבטחה בתוך אותה גרסה יכול להיות מאושר מראש.
- מעדכן ומדווחעדכון באתר החי, בדיקה חוזרת ורישום ביומן. אם משהו נשבר, חוזרים לגיבוי.
כלומר, אם האתר שלכם רץ על PHP 8.3.30, ונתתם מראש אישור לתיקוני אבטחה באותה גרסה, הסוכן היה מעדכן ל־8.3.36 בלי לשאול. אתם הייתם מקבלים הודעה אחת אחרי: "יצאה פרצה קריטית, האתר עודכן, הכול נבדק". זה בדיוק התרחיש שבו האתר מוגן לפני שבעל העסק בכלל שמע את המילה PHP.
איפה הסוכן לא מספיק
- באחסון משותף בלי גישה לשרת, הסוכן לא יכול לעדכן את PHP בעצמו. הוא יכול לבדוק, לשנות גרסה בפאנל אם יש לו גישה אליו, ולפנות לחברת האחסון עם השאלה המדויקת. זה עדיין הרבה יותר ממה שקורה היום ברוב העסקים.
- אתר ישן מאוד על PHP 5, עם קוד שנכתב במיוחד, לפעמים צריך שכתוב חלקי. הסוכן יזהה את זה וימפה מה ישבר, אבל זו עבודה של כמה ימים, לא של לילה אחד.
- סוכן לא מחליף אחסון טוב. חברת אחסון שמתקנת בעצמה היא שכבת הגנה ראשונה. הסוכן הוא מי שמוודא שזה באמת קרה.
הדעה שלנו: כל עסק עם אתר יצטרך סוכן שמטפל בזה
PHP2Shell לא תהיה הפרצה האחרונה. מה שהשתנה הוא הקצב.
הפרצה עצמה ישבה בקוד יותר מעשור. מה שקיצר את הדרך מבאג להתקפה עובדת הוא AI. מצד אחד, החוקרים שמצאו אותה עבדו עם מודלים. מצד שני, ניסיונות ניצול הופיעו עוד לפני הפרסום הרשמי. כשהתקפה נבנית בשבוע ומופצת בשעות, בעל עסק שמגלה על פרצה מכתבה בחדשות אחרי שבועיים כבר מאחר.
עד היום הפתרון היה "מישהו שמתחזק את האתר": פרילנסר, חברת בניית אתרים או בן משפחה שמבין במחשבים. זה עבד כשהיו לנו שבועות להגיב. זה לא עובד כשהתגובה צריכה לקרות בערב של יום שלישי, כשכולם כבר בבית.
אנחנו חושבים שבשנים הקרובות סוכן AI שמחובר לעסק יהיה דבר בסיסי, כמו הנהלת חשבונות. לא בגלל ש־AI אופנתי, אלא כי התוקפים כבר עובדים עם AI, וההגנה צריכה לעבוד באותו קצב. סוכן כזה לא מטפל רק ב־PHP. הוא מחובר לאתר, ל־Google, לקמפיינים ולתוכן, והוא שם לב לבעיה בכל אחד מהם. השאלה היא לא אם עסקים יצטרכו אותו, אלא כמה פרצות יעברו עד שהם יבינו.
שאלות נפוצות
מה זה PHP2Shell?
PHP2Shell הוא הכינוי לשתי פרצות אבטחה קריטיות ב־PHP, CVE-2026-109618 ו־CVE-2026-109619, שתוקנו ב־21 באוקטובר 2026. הן מאפשרות לתוקף להריץ קוד על שרת האתר בלי להתחבר, ומקבלות ציון חומרה 9.2 מתוך 10. התיקון נמצא בגרסאות 8.5.12, 8.4.27, 8.3.36 ו־8.2.35.
האם אתר וורדפרס שלי חשוף לפרצת PHP?
אם האתר רץ על גרסת PHP שלא קיבלה את התיקון, כן. וורדפרס עצמו לא פגיע, אבל הוא רץ על PHP, והפרצה יכולה לפעול לפני שקוד וורדפרס מתחיל לעבוד. בודקים את הגרסה בכלים ← בריאות האתר ← מידע ← שרת, ושואלים את חברת האחסון אם השרת תוקן.
איך מעדכנים את גרסת ה־PHP?
באחסון משותף בדרך כלל יש בפאנל בחירת גרסת PHP. בשרת פרטי מעדכנים את חבילת ה־PHP דרך מנהל החבילות של השרת. לפני כל שינוי עושים גיבוי מלא. מעבר בין גרסאות ראשיות, למשל מ־7.4 ל־8.3, עלול לשבור תוספים ישנים, ולכן כדאי לבדוק קודם על עותק של האתר.
מה אם אני לא יכול לעדכן מיד?
לפי PHP, אין חלופה מלאה לעדכון. יש הגדרות שמקטינות את הסיכון, וחומות אש כמו Cloudflare הוסיפו כללי הגנה זמניים. CISA ממליצה להוריד מהרשת מערכות שלא ניתן לעדכן מיד. לאתר עסקי קטן, הצעד המעשי הוא לבקש מחברת האחסון להעביר אתכם לגרסה מתוקנת עוד היום.
האם סוכן AI יכול לעדכן את PHP לבד?
כן, אם הוא מחובר לשרת או לפאנל האחסון וקיבל הרשאה. ההגדרה הנכונה: הוא מזהה, מגבה ובודק לבד, מעדכן תיקוני אבטחה בתוך אותה גרסה אם אישרתם את זה מראש, ושואל אתכם לפני מעבר בין גרסאות ראשיות. כל פעולה נרשמת ביומן, ויש גיבוי לחזור אליו.
האם סוכן AI לא יוצר בעצמו סיכון אבטחה?
סוכן עם גישה לשרת הוא עוד גורם עם מפתחות, ולכן נותנים לו את ההרשאה המינימלית, חשבון נפרד ומפתח משלו, לא סיסמה משותפת. ההשוואה הנכונה היא לא סוכן מול אפס סיכון, אלא סוכן מול שרת שאף אחד לא בודק. אתר עם PHP ישן שאף אחד לא נוגע בו הוא סיכון גדול בהרבה.
מקורות
- https://www.php.net/
- https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
- https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws
- https://www.siteground.com/blog/critical-php-vulnerabilities-october-2026
- https://w3techs.com/technologies/details/pl-php
