פרשת PHP2Shell, שמטלטלת את עולם הסייבר כבר שבוע, עלתה מדרגה. רשות הסייבר ואבטחת התשתיות של ארה"ב (CISA) הוסיפה את שתי החולשות הקריטיות בשפת התכנות PHP, שסומנו CVE-2026-109618 ו-CVE-2026-109619, לקטלוג החולשות שמנוצלות בפועל בתקיפות (KEV). כלומר, מבחינת הרשות האמריקאית, זו כבר לא סכנה תיאורטית.
דדליין קצר במיוחד
לפי הדיווחים, CISA הוסיפה את החולשות לקטלוג ב-26 באוקטובר, וקבעה לסוכנויות הפדרליות האזרחיות מועד אחרון לתיקון ב-29 באוקטובר, מחר. ההנחיה מחייבת לתקן קודם כל שרתים שחשופים לאינטרנט, וגם לבדוק אם הם כבר נפרצו לפני העדכון או במהלכו. באזהרה מעודכנת, הרשות הורתה לארגונים שלא יכולים לעדכן מיד, או שמריצים גרסאות שכבר לא נתמכות, לנתק את המערכות מבוססות ה-PHP מהרשת עד שיעודכנו.
מה ידוע על התקיפות
לפי נתונים שפורסמו, ניסיונות ניצול ראשונים זוהו עוד לפני הפרסום הרשמי של החולשות ב-21 באוקטובר. חברת האבטחה watchTowr דיווחה על ניצול בפועל מאותו יום, וחוקר אבטחה בחברת Perplexity דיווח שמלכודות דבש (honeypots) תיעדו הרצת קוד מרחוק בשרת אפאצ'י עם mod_php שהריץ PHP 8.4.26. בדיווחים מופיעות גם טענות על סריקות מצד גורמים הקשורים לצפון קוריאה, אבל הן לא אומתו באופן עצמאי.
העדכונים זמינים מאז 21 באוקטובר בגרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. לגרסאות ישנות יותר, שכבר לא נתמכות, צוות האבטחה של PHP פרסם תיקונים מינימליים בקוד המקור. בנוסף, עדיין אין תיקון לחולשה שלישית, CVE-2026-115560, שהסיכון ממנה נמוך יותר.
מה זה אומר לארגונים בישראל
ההנחיה של CISA מחייבת רק את הממשל הפדרלי האמריקאי, אבל ברוב העולם, וגם בישראל, היא משמשת סימן ברור לסדר העדיפויות. כל ארגון שמריץ PHP, כולל אתרי וורדפרס, חנויות מקוונות ומערכות פנימיות, צריך לוודא שהשרתים עודכנו, ולבדוק ביומני השרת אם יש סימנים לחדירה. ארגונים קטנים באחסון משותף צריכים לבקש אישור מפורש מספק האחסון שהעדכון הותקן.
