קהילת הפיתוח ואבטחת המידע הגלובלית נמצאת ברמת כוננות גבוהה במיוחד, בעקבות הודעה דחופה מטעם מפתחי שפת התכנות PHP על כוונתם לשחרר שני תיקוני חירום למערכת בתוך פחות מ-12 שעות. מדובר בשתי פגיעויות אבטחה שקיבלו דירוג חומרה יוצא דופן של 9.2 מתוך 10. השפה המדוברת מהווה את תשתית הבסיס של חלק ניכר מאתרי האינטרנט ואפליקציות הרשת ברחבי העולם, ועל פי הערכות של חוקרי אבטחה, כ-1.3 מיליון שרתים המחוברים לרשת האינטרנט מושפעים באופן ישיר מהחולשות הללו.
בהודעה הרשמית שפרסמו מפתחי השפה נכתב:
"כל משתמשי PHP מוזמנים להיערך כעת כדי שיוכלו לשדרג ברגע שהעדכון יהיה זמין."
עוד הוסיפו המפתחים אזהרה מפורשת לגבי לוח הזמנים:
"אנו שומרים לעצמנו את הזכות לשחרר את התיקון מוקדם יותר במידה ופרטים על אחת החולשות יהפכו לציבוריים, או אם תופיע עדות לניצול פעיל בשטח."
כלי התקיפה שהדליף את החולשה
גל ההתרעות הנוכחי נולד בעקבות הדלפת פרטים לא מאומתים ברשת, שכללו תיעוד וידאו המציג כלי תקיפה בשם PHP2Shell. הסרטון שהופץ מציג ביצוע של הרצת קוד מרחוק (Remote Code Execution - RCE) על גבי שרתים המריצים מגוון רחב של מערכות ניהול תוכן (CMS), כלי ניהול ומסגרות פיתוח (Frameworks) פופולריות במיוחד.
בין המערכות והגרסאות הספציפיות שנצפו בסרטון התקיפה נמנות:
- מערכות ניהול תוכן ופורומים: WordPress בגרסה 7.1.3, MediaWiki בגרסה 1.46.2, phpBB בגרסה 3.3.17, Magento בגרסה 2.4.9, Joomla בגרסה 6.2.0, ו-Drupal בגרסה 11.4.10.
- סביבות פיתוח וכלי ניהול תשתיות: Laravel בגרסאות 13.36.0 ו-8.83.29, Symfony בגרסה 8.1.9, וכן מערכת WHMCS בגרסה 9.0.9.
כל המערכות הללו נשענות באופן מלא על תשתית שפת PHP, מה שמדגיש את היקף הפגיעה העצום והנזק הפוטנציאלי במקרה של ניצול נרחב של החולשה ברחבי הרשת.
פגיעות מתמשכת מאז שנת 2004
בדיקות שבוצעו על ידי חברות אבטחת מידע אישרו כי שתי החולשות, המעודכנות ומסומנות במאגרי האבטחה תחת CVE-2026-109618 ו-CVE-2026-109619, אכן אמיתיות וקיימות במציאות. ניתוח טכני של הנתונים מעלה טענות חמורות שלפיהן החולשות משפיעות על כל גרסאות PHP ששוחררו החל מגרסה PHP 5, שנחשפה עוד בשנת 2004, ועד לגרסאות העדכניות ביותר הפעילות כיום.
חוקרי אבטחה מעריכים כי בשל הפשטות של ניצול הפרצה והחומרה הגבוהה שלה, מתקפות המוניות צפויות להתחיל בתוך כ-15 דקות בלבד מרגע שחרור קוד התיקון והפצתו לציבור. בשל כך, הוגדרה הסיטואציה כאחד מאירועי הסייבר הרגישים והמסוכנים ביותר שנרשמו בשנים האחרונות בתחום תשתיות הרשת.
כשפת סקריפטים בקוד פתוח (Open Source), הפכה PHP לאורך השנים לאחד מאבני הבניין המרכזיות והנפוצות ביותר של האינטרנט. מלבד ניהול אתרי אינטרנט ציבוריים ומערכות תוכן מובילות, השפה משמשת כבסיס לפיתוח עשרות אלפי כלים ארגוניים פנימיים, מערכות ניהול פנימיות ושירותי ענן שונים. חולשות ברמת חומרה כזו נושאות פוטנציאל לגרום לנזקים כבדים ברחבי הרשת כולה.
צעדי היערכות מומלצים לצוותי טכנולוגיה
בעקבות האיום המיידי, מספר חברות אבטחת מידע פרסמו אזהרות וניירות עמדה הדוחקים במנהלי מערכות ובצוותי פיתוח לא להמתין ולפעול באופן מיידי. חלון הזמנים המתוכנן להפצת התיקונים נקבע לשעה 14:00 לפי שעון UTC, אך לאור ההתפתחויות, העדכון עשוי להשתחרר מוקדם יותר בכל רגע.
בין צעדי ההיערכות המומלצים שעל ארגונים לבצע באופן מיידי:
- מיפוי ואחריות ארגונית: הגדרה ברורה של הגורם האחראי לניהול ותחזוקת PHP בארגון, לצד ביצוע סקר מלא ומקיף של כל האפליקציות, המערכות והשירותים המבוססים על השפה.
- הכנת חלון תחזוקה: תכנון חלון זמן ייעודי להטמעת העדכונים החל משעת היעד (14:00 UTC), תוך הכנת תוכניות מגירה למקרה של הפצה מוקדמת מן המתוכנן.
- גיבוי מלא: ביצוע גיבוי מקיף ומאובטח של כל קובצי האתרים, הקוד ומסדי הנתונים לפני תחילת עדכון המערכות.
- ניטור רציף: מעקב הדוק אחר עמוד הבית הרשמי של PHP.net לקבלת הודעות דחופות ועדכונים בזמן אמת על מועד הפצת התיקונים.
נוסף על כך, חלק ממומחי האבטחה המליצו לצוותים שקיימות אצלם מערכות שאינן חיוניות לשקול את ניתוקן מהרשת עד להשלמת הטמעת עדכוני האבטחה, וזאת כדי למזער את הסיכון לחשיפה בפני גל התקיפות האוטומטי הצפוי ברשת עם פרסום הפרטים.
התוכן בכתבה זו נועד לספק סקירה כללית בלבד ואינו מהווה תחליף לייעוץ מקצועי פרטני. המערכת אינה אחראית לכל נזק או הפסד שייגרם כתוצאה מהסתמכות על המידע המוצג.
קראו גם: סוף הדרך העצמאית של אר-גו רובוטיקס: מכרה רישיונות בכ-25 מיליון דולר · רשות המסים מקדמת מתווה חדש: רף רווחיות של 13% למרכזי הפיתוח הזרים
