צוות PHP פרסם הודעה מוקדמת על שחרור אבטחה מחוץ למחזור הרגיל, שיתקן שתי פגיעויות הרצת קוד מרחוק שדורגו 9.2 ב-CVSS v4.0 (חומרה קריטית). השחרור מתוכנן ל-21 באוקטובר 2026 בשעה 14:00 UTC. חוקרים כינו את הצמד PHP2Shell; השם אינו של צוות PHP.
| מזהה | לפי פוסט שדלף: CVE-2026-109618 ו-CVE-2026-109619 (צוות PHP לא אישר) |
| מוצר | PHP; הגרסאות המושפעות לא פורסמו רשמית |
| חומרה | 9.2 (CVSS v4.0, לפי צוות PHP) |
| מנוצל בפועל | לא דווח; אינו בקטלוג KEV נכון להיום |
| תיקון | צפוי בענפים 8.2, 8.3, 8.4, 8.5; ענפים ישנים יותר לא יתוקנו |
מה קרה
לפי הכיסוי ב-The Hacker News, פרטי הפגיעויות הוסתרו עד השחרור, אך מידע דלף לפני המועד. טענה שדלפה לפיה הפגיעות משפיעה על גרסאות מ-PHP 5 ואילך לא אושרה על ידי יצרן; גם חברת watchTowr מציינת זאת. צוות PHP הודיע שעשוי להקדים את השחרור אם הפרטים יתפרסמו או שיתחיל ניצול.
ענפים 8.1 ומטה הגיעו לסוף חיים ולא יקבלו תיקון רשמי. חברת Mallory ספרה כ-884 אלף שרתים חשופים לאינטרנט שמדווחים על PHP 8.1 ומטה, אך זו ספירת באנרים ולא אישור לפגיעות.
נקודות לשים לב
- בנה מלאי של כל התקנות ה-PHP שלך, כולל עותקים משובצים במכשירים, בתוכנות ובלוחות ניהול אירוח.
- היה מוכן לעדכן עם השחרור; התחל במערכות החשופות לאינטרנט, ובדוק אם ההפצה או חברת האירוח שלך מפיצות תיקון (backport).
- בענפים שאינם נתמכים: שדרג, או הגן על המערכת מאחורי VPN/WAF או נתק אותה. אל תניח שיגיע תיקון.
- הגדר התראה על תהליכי
php-fpm,php-cgi,apache2אוhttpdשמפעילים shell, מפרש או כלי הורדה; זה זיהוי, לא מניעה. - אין כרגע workaround רשמי. אם יש חשד לפריצה, בודד את השרת, שמור לוגים ובדוק web shells, קבצים חדשים ב-web root ומשימות מתוזמנות.
מקורות: הודעת PHP · The Hacker News · CERT-EU
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
