"אוקטובר השחור" של האינטרנט: ה-AI חשף פרצות ב-PHP, והעולם ממהר לעדכן שרתים
צוותי אבטחת מידע ברחבי העולם עובדים מאז תחילת השבוע מסביב לשעון כדי לעדכן שרתים שמריצים PHP, שפת התכנות שעליה בנויים בערך 70% מאתרי האינטרנט. מדובר בשתי חולשות קריטיות בליבת השפה, שזכו לכינוי PHP2Shell, ובענף כבר מכנים את התקופה "אוקטובר השחור". מה שמייחד את הפרשה הוא הדרך שבה התגלו הפרצות: חוקרים נעזרו במודלים מתקדמים של בינה מלאכותית, שהצליחו לבנות שרשרת ניצול מורכבת שבעבר נחשבה כמעט מעבר ליכולת של צוות אנושי. לפי הערכות של מומחים, זו כנראה רק ההתחלה של גל חולשות שיתגלו בקצב מהיר בהרבה מהקצב שבו הארגונים מסוגלים לתקן אותן.
החולשות מקבלות ציון חומרה של 9.2 מתוך 10 ומאפשרות לתוקף להריץ קוד על השרת מרחוק, בלי שם משתמש ובלי סיסמה. הן פוגעות בכל גרסה של PHP מ-5.4 ועד 8.5.11, כלומר בכל מה ששוחרר בעשור האחרון בערך.
מה בדיוק התגלה
הפרצה הראשונה, CVE-2026-109618, קשורה לאופן שבו PHP מתנהגת כשנגמר לה הזיכרון באמצע טיפול בבקשה. במצב כזה חלק מהנתונים הפנימיים נשאר מאותחל למחצה, ושלב הניקוי מתייחס אליהם כאילו הם תקינים. השנייה, CVE-2026-109619, נוגעת לנתונים ששייכים לבקשה אחת ושורדים גם אחרי שהזיכרון שלהם שוחרר. בקשה הבאה שמגיעה לאותו תהליך עלולה להשתמש בהם, ותוקף שמסדר את הזיכרון בצורה מחושבת יכול להפוך את זה להשתלטות מלאה.
הנקודה המדאיגה היא שהבעיה יושבת בשפה עצמה ולא באפליקציה שרצה מעליה. חוקרי ויז, חברת הסייבר הישראלית במקור שנרכשה על ידי אלפאבית, הדגימו השתלטות על התקנות עדכניות של וורדפרס, דרופל וג'ומלה, ולדבריהם גם אפליקציה בסיסית של שורת טקסט אחת עלולה להיות חשופה. בנוסף הם הראו שאפשר לשאוב מזיכרון השרת סיסמאות, מפתחות גישה ונתונים רגישים אחרים, גם בלי להגיע להשתלטות.
לפי לוח הזמנים שפרסמה ויז, החולשה הראשונה אותרה ב-19 באוגוסט בעזרת מערכת המחקר של החברה ומודלים של גוגל ו-OpenAI. כעבור חמישה ימים הדיווח הועבר לצוות האבטחה של PHP, והתיקון יצא ב-21 באוקטובר. חברת המחקר Calif, שאיתרה את הבעיות במקביל, מתארכת את הגילוי שלה לתחילת אוגוסט. בבוקר יום השחרור, עוד לפני הפרסום המתוכנן, כבר הסתובב ברשת קובץ עם פרטים על הפרצות, וזה כנראה מה שהאיץ את הבהלה.
להרחבה: ה-AI משנה את עולם הסייבר: פרצת PHP חדשה מאיימת על מיליוני אתרים
מי בסיכון ומה עושים עכשיו
פרויקט PHP שחרר את גרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35, וקורא לכל המשתמשים לעדכן מיד. לדברי הפרויקט, הסיכון הגבוה ביותר הוא בשרתי אפאצ'י עם mod_php, שם הודגמה התקפה שמתחילה עוד לפני שקוד האתר רץ. גרסה 8.1 ומטה כבר מחוץ לתמיכה, ולכן צוות האבטחה הכין עבורה תיקונים מצומצמים בקוד המקור, וחלק מהפצות הלינוקס מספקות עדכונים משלהן.
סוכנות הסייבר האמריקאית CISA פרסמה התראה דחופה ועדכנה אותה ביום שישי עם כלל זיהוי לפעילות חשודה. לפי הסוכנות, עד מועד הפרסום לא זוהה ניצול מוצלח של הפרצות בשטח. עם זאת, היא ממליצה לארגונים שמתקשים לעדכן מיד, או שמריצים גרסאות ישנות, לנתק את המערכות מהרשת עד לתיקון. גם שירות הבריאות הבריטי הוציא התראה, וגוגל קלאוד הנחתה את לקוחותיה לבנות מחדש ולהעלות מחדש אפליקציות שרצות על PHP.
מומחי תשתיות מזהירים ממלכודת נפוצה: התקנת העדכון לבדה עשויה להיות חלקית. שרתים ממשיכים להריץ את הקוד הישן בזיכרון עד שמפעילים אותם מחדש, ובחלק מההפצות מספר הגרסה נשאר זהה גם אחרי התיקון, כך שבדיקה שטחית עלולה להטעות. גם קונטיינרים צריכים להיבנות מחדש.
- 1Password משיקה כניסה מאובטחת לסוכני AI
- פרצת האבטחה מקפיצה את מניות הסייבר: באילו מניות האנליסטים עדיין רואים פוטנציאל?
בתעשייה רואים בפרשה סימן לבאות. כבר באפריל הזהירה אנתרופיק מהיכולות ההתקפיות של מודלים מתקדמים, וסגן מנהל אבטחת המידע שלה כתב השבוע שהמצב צפוי להחמיר לפני שישתפר, וקרא למנהלי אבטחה לבקש מההנהלות משאבים לחיזוק היסודות לתקופה של כשנה וחצי. חברות גדולות יכולות להפעיל בעצמן מודלים כדי לאתר חולשות, אבל לעסקים קטנים ובינוניים זה קשה יותר, ומומחים ממליצים להם לסרוק את המערכות באופן שוטף, להתקין עדכונים כמה שיותר מהר ולהוריד מהאוויר מערכות ישנות. בצד של המשתמשים הפרטיים ההמלצות מוכרות: אימות דו-שלבי בכל שירות, מנהל סיסמאות והפרדה של מכשירים חכמים לרשת נפרדת.
