PHP2Shell: בינה מלאכותית חשפה פרצה קריטית שמאיימת על 70% מהאתרים בעולם
שתי חולשות קריטיות בשפת PHP, שהתגלו בעזרת בינה מלאכותית ומאיימות על רוב אתרי האינטרנט בעולם, חייבו תיקון חירום גלובלי - וממחישות עד כמה הזמן להגיב לפרצות התקצר.
בשבוע האחרון נחשפה אחת הפרצות החמורות שראה עולם האינטרנט בשנים האחרונות: שתי חולשות אבטחה קריטיות בשפת התכנות PHP, שעליה מבוססים כ-70% מהאתרים בעולם - כולל וורדפרס, מג'נטו, דרופל ואלפי מערכות ניהול תוכן אחרות. הפרצה, שקיבלה את השם PHP2Shell, התגלתה בעזרת מודלים של בינה מלאכותית, וה-CVSS שלה (9.2 מתוך 10) מעיד על חומרה קיצונית: תוקף שמנצל אותה יכול להריץ קוד זדוני על השרת מרחוק, בלי להזדקק לשם משתמש או סיסמה. מה שמייחד את הסיפור הזה אינו רק הפרצה עצמה, אלא העובדה שהיא ממחישה כיצד בינה מלאכותית משנה את קצב המלחמה בין תוקפים למגינים - ולמה לכל בעל אתר עסקי יש כעת סיבה טובה לבדוק את גרסת ה-PHP שמריץ השרת שלו.
מה בעצם קרה: שתי חולשות בלב התשתית
הפרצות, המתועדות כ-CVE-2026-109618 ו-CVE-2026-109619, נובעות מבאגים בניהול הזיכרון של PHP בזמן טיפול בשגיאות עומס. חולשה אחת מאפשרת לתוקף "להשחית" נתוני בקשה כך שהשרת מתייחס אליהם כחוקיים, והשנייה מאפשרת לנתונים "מתים" בזיכרון לשרוד ולהיות מנוצלים בבקשה הבאה שמגיעה לאותו worker. בשילוב, שתי החולשות הללו מאפשרות לתוקף לא מאומת להשתלט על תהליך השרת ולהריץ עליו פקודות. הבאג עצמו קיים בקוד של PHP כבר כעשור, אבל רק כעת, עם כלים חדשים לניתוח קוד, הוא הפך לנגיש לניצול בקנה מידה המוני.
התפקיד המפתיע של הבינה המלאכותית
מה שהפך את הסיפור לכותרת עולמית הוא מי שגילה את הפרצה: לא חוקר אנושי בודד, אלא סוכני בינה מלאכותית. שתי חברות אבטחה נפרדות - אחת שעבדה עם מודל של OpenAI והשנייה, חברת Wiz, שהשתמשה בסוכנים מבוססי Gemini של גוגל - איתרו את אותן חולשות באופן עצמאי בתוך חודשים ספורים. זה מראה כיצד בינה מלאכותית מקצרת דרמטית את הזמן הנדרש לאיתור פרצות עומק בתשתיות ישנות ומורכבות. הצד הבעייתי: הכלים שמוצאים את הפרצות כדי לתקן אותן הם בדיוק אותם סוגי כלים שתוקפים יכולים להשתמש בהם כדי לייצר קוד ניצול (exploit) מהר יותר מבעבר. לכן סוכנויות כמו NSA, FBI ו-CISA האמריקאיות פרסמו התרעות חריגות שדרשו טיפול מיידי, ובמדינות כמו הולנד ופינלנד גופים ממשלתיים אף הורידו אתרים מהרשת כאמצעי מנע.
למה זה נוגע גם לעסקים בישראל
כל עסק שמריץ אתר מסחר, בלוג, מערכת הזמנות או כל שירות מקוון שמבוסס על PHP - ולרוב זה אומר וורדפרס - חשוף. חשוב להבהיר נקודה שמבלבלת בעלי אתרים רבים: עדכון של וורדפרס עצמו או של תוסף לא פותר את הבעיה, כי החולשה נמצאת ברובד שמתחתיו - בפרשן PHP שמריץ את כל המערכת. הפתרון דורש עדכון בפועל של גרסת ה-PHP בשרת לאחת הגרסאות המתוקנות: 8.5.12, 8.4.27, 8.3.36 או 8.2.35. הבעיה החריפה ביותר נוגעת לאתרים שרצים על גרסאות PHP ישנות מאוד (5.6, 7.x, 8.0, 8.1) שכבר הוצאו משירות רשמי - עבורן אין תיקון מהספק עצמו, ורק גיבויי קהילה או מעבר לאחסון מעודכן יכולים לסגור את הפער.
מה עושים עם זה כבר השבוע
הצעד הראשון הוא לבדוק עם חברת האחסון או מחלקת ה-IT איזו גרסת PHP רצה בפועל על השרת, ולא להניח שהיא עודכנה אוטומטית. אם האתר מנוהל על ידי סוכנות חוץ, זה הזמן לשלוח הודעה ולבקש אישור בכתב שהעדכון בוצע. עסקים שמריצים מערכות מותאמות אישית או תוספים ישנים צריכים לבדוק גם תאימות - עדכון PHP לפעמים "שובר" קוד ישן, כך שהבדיקה צריכה להיעשות בסביבת בדיקה ולא ישירות על הסביבה החיה. חשוב גם לעקוב אחר יומני השרת (logs) בימים הקרובים לאיתור ניסיונות ניצול, מכיוון שהפומביות הרבה שהפרצה קיבלה הופכת אותה למטרה מועדפת לתוקפים אוטומטיים שסורקים את האינטרנט בחיפוש אחר שרתים לא מעודכנים.
הסיפור של PHP2Shell הוא תמרור אזהרה בגודל ענק: בינה מלאכותית לא רק עוזרת לעסקים לכתוב קוד ולשרת לקוחות - היא גם משנה את מאזן הכוחות בעולם הסייבר, בקצב שהרבה מהר יותר ממה שתהליכי התקנה ועדכון מסורתיים מורגלים בו. עסק שמחכה "לשבוע הבא" כדי לבדוק את גרסת ה-PHP שלו, עלול למצוא את עצמו בצד הלא נכון של המירוץ הזה.
