סוכנות הביטחון הלאומי של ארה"ב (NSA) פרסמה אזהרה לגבי שתי פרצות קריטיות ב-PHP, שפת תכנות בקוד פתוח שמריצה אתרים ואפליקציות ווב. הפרצות, שכונו "PHP2Shell", התגלו בעזרת בינה מלאכותית. מפתחי PHP פרסמו תיקון ב-21 באוקטובר 2026, וה-NSA ממליצה לארגונים לתעדף את התקנתו.
מה הפרצות מאפשרות
לפי הודעת ה-NSA, הפרצות עלולות לאפשר לתוקפים להשתלט על שרת ווב בלי גישה קודמת ובלי הזדהות. מכאן אפשר לגנוב מידע רגיש, לשבש שירותים או להתקדם לעומק הרשת. ה-NSA מדגישה שהבעיה היא ב-PHP עצמה ולא באפליקציה או בהגדרות שלה: כל שרת שמריץ גרסה פגיעה חשוף. הסוכנות מעריכה שתוקפים צפויים לנצל את הפרצות.
חברת האבטחה Palo Alto Networks מפרטת את שני מספרי הפרצות, CVE-2026-109618 ו-CVE-2026-109619, ומדרגת את שתיהן 9.2 מתוך 10. הראשונה קשורה לטיפול בשגיאת חוסר זיכרון, שמשאיר זיכרון בקשה לא מאותחל. השנייה משאירה זיכרון גלובלי שמצביע על אזורים ששוחררו, וניתן לנצל זאת בבקשות הבאות כדי להריץ קוד. החברה כותבת שראתה הוכחת היתכנות לפרצות, ושלפחות ממשלה אירופית אחת הורידה את האתר שלה מהרשת כאמצעי זהירות. לפי מדידות החברה, יש יותר מ-22.6 מיליון מופעים חשופים שעלולים להיות פגיעים.
איך AI מעורב
OpenAI מספרת שהובילה בחודשיים האחרונים קואליציה של מתחזקים, חוקרים וספקי אבטחה לטיפול בפרצות. לדבריה, חברת Calif איתרה פגם קריטי באמצעות GPT-5.6 Sol במסגרת יוזמת Patch the Planet של OpenAI, וחברת Wiz גילתה ודיווחה על שתי הפרצות באופן עצמאי. מתחזקי PHP הובילו את התיקון וההפצה.
OpenAI מגדירה זאת כאחת מבעיות האבטחה המשמעותיות בזיכרון האחרון, ואומרת שזו הדגמה לכך ש-AI יכול לחשוף פגמים בהיקף של האינטרנט כולו, אבל גם לעזור לתוקפים לפתח כלי תקיפה במהירות. לטענתה, ככל הידוע לה, בינה מלאכותית מתקדמת מצאה את הפרצות לפני התוקפים, וכך נוצר "חלון הגנה" שאפשר להתכונן בו לפני הפרסום. זו טענה של החברה עצמה.
מה ממליצים לעשות
ה-NSA ממליצה לארגונים לבצע מיפוי של מערכות שמסתמכות על גרסאות PHP פגיעות ולהקפיד על התקנת עדכונים. היא ממליצה גם להוסיף תיעוד אירועים מורחב ולהחליף שירותי PHP שהגיעו לסוף תמיכה ולא ניתן לתקן אותם. אם אי אפשר לעדכן מיד, ההמלצה היא להוריד את המערכת מהרשת עד שתתוקן. במחלקות וסוכנויות הממשל בארה"ב נדרש תיקון מיידי.
OpenAI פרסמה כלי בדיקת גרסאות PHP כמיומנות ל-Codex, כדי לעזור למפעילים לזהות גרסאות פגיעות. היא גם הודיעה על התחייבות ל-1 מיליארד דולר בגישה מסובסדת ל-Daybreak לארגונים עם משאבי אבטחה מוגבלים, והציעה מסגרת בת חמישה שלבים לטיפול בפרצות קריטיות: אימות ותיקון, זמן הערכות לארגונים מושפעים, תיאום עם ממשלות, הכנת עדכונים ופרסום הנחיות. היא מבקשת ממומחי האבטחה משוב על המסגרת.
מה עוד לא ברור
ה-NSA לא מפרטת אילו גרסאות PHP פגיעות, וגם לא אם כבר נעשה ניצול בפועל; היא אומרת רק שזה צפוי. את רשימת הגרסאות המדויקת יש לבדוק בהודעת האבטחה של PHP.
מה זה אומר בשבילכם
מי שמפעיל אתר או שרת על PHP צריך לבדוק את הגרסה ולהתקין את העדכון של 21 באוקטובר. אם אתם משתמשים באירוח, כדאי לברר עם הספק מה מצבו. ההודעות אינן מתייחסות במפורש לישראל. מי שלא יכול לעדכן, ההמלצה היא להוריד את המערכת מהרשת עד לתיקון.
תגובות