ב-21 באוקטובר 2026 פרסם צוות הפיתוח של PHP תיקון לשתי פרצות אבטחה, שקיבלו את השם PHP2Shell (CVE-2026-109618 ו-CVE-2026-109619). PHP היא השפה שמריצה את רוב האתרים ברשת, ובהם כל אתר שבנוי על וורדפרס, ג'ומלה או דרופל. הפרצות מאפשרות לתוקף להריץ פקודות על השרת של האתר מרחוק, בלי להתחבר ובלי לדעת סיסמה. ציון החומרה של שתיהן הוא 9.2 מתוך 10.
התיקון יצא יום אחד לפני המועד שתוכנן, כי פרטים על הפרצות דלפו לפורומים ברשת לפני שהיה מוכן. אמזון דיווחה שמערכות הניטור שלה זיהו ניסיון לנצל את הפרצה כבר ב-17 באוקטובר, ארבעה ימים לפני שהתיקון פורסם. את הפרצות מצאו באוגוסט, כל אחד בנפרד, חוקרים מחברת Wiz, מחברת Calif ומ-OpenAI.
מערך הסייבר הלאומי המליץ לארגונים לבדוק את המערכות שלהם ולעדכן אותן בהקדם, ובמקרים מסוימים לשקול לנתק שרתים חשופים מהאינטרנט עד שיעודכנו.
מי בסיכון
כל עסק שיש לו אתר שרץ על PHP: חנות אונליין, אתר עם טופס הזמנה או יומן תורים, ואפילו אתר תדמית פשוט על וורדפרס. לפי הערכה של Wiz, כ-70% מהאתרים ברשת משתמשים ב-PHP. זה לא אומר ש-70% מהאתרים נפרצו. הסיכון תלוי בגרסת ה-PHP שמותקנת בשרת ובהגדרות שלו.
הגרסאות המתוקנות הן 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. מי שהשרת שלו מריץ PHP 8.1 או גרסה ישנה יותר נמצא במצב קשה יותר: הגרסאות האלה לא מקבלות יותר עדכוני אבטחה רשמיים, וצוות PHP פרסם להן רק תיקון בקוד המקור, שמישהו צריך להתקין ידנית.
הנקודה שבעלי עסקים מפספסים: עדכון של וורדפרס, של התבנית או של התוספים לא סוגר את הפרצה. היא נמצאת בתוכנה שרצה מתחת לאתר, בשרת עצמו. עסק שלחץ אתמול על "עדכן הכול" בלוח הבקרה של וורדפרס עדיין יכול להיות חשוף.
בדיקה מול חברת האחסון
רוב העסקים הקטנים לא מנהלים את השרת בעצמם. האתר יושב אצל חברת אחסון, ואצלה גם נמצא העדכון. מה שצריך לעשות השבוע הוא לפנות אליה ולבקש אישור בכתב שגרסת ה-PHP בשרת שלכם עודכנה לאחת מהגרסאות המתוקנות, ושהשירותים הופעלו מחדש אחרי העדכון. בלי הפעלה מחדש התיקון לא נכנס לתוקף.
אם האתר נבנה על ידי מפתח או סוכנות שמנהלים אותו בשבילכם, הפנייה היא אליהם. כדאי לשאול גם על אתרים ישנים שכבר לא בשימוש פעיל, כמו דף נחיתה של קמפיין שהסתיים או גרסה קודמת של האתר שעדיין באוויר. גם הם רצים על שרת, וגם הם יכולים להיות הדלת שדרכה נכנסים.
עסקים שהאתר שלהם עובר דרך Cloudflare קיבלו שכבת הגנה ראשונה: החברה הפעילה לכל הלקוחות שלה חוקים שחוסמים את דרכי התקיפה המוכרות. זו הגנה זמנית בלבד, והיא לא מחליפה את העדכון בשרת.
אם האתר כבר נפרץ
התקנת העדכון סוגרת את הפרצה, אבל לא מוציאה תוקף שכבר נכנס. סימנים שכדאי לבדוק: קבצים שאף אחד לא העלה, משתמשי ניהול חדשים בוורדפרס, הפניות לאתרים זרים, או פעילות חריגה ביומני השרת. חברת האחסון יכולה לבדוק את רוב זה.
מי שמוצא סימן לפריצה צריך להניח שהתוקף השאיר לעצמו דרך חזרה. במקרים כאלה ההמלצה היא לשחזר את האתר מגיבוי שנלקח לפני הפריצה, ורק אחרי שה-PHP בשרת עודכן. אתר שאוסף פרטי לקוחות, הזמנות או פרטי תשלום מחייב בדיקה כזאת בעדיפות ראשונה, כי שם נמצא המידע שתוקפים מחפשים.