שתי פרצות אבטחה חמורות בשפת התכנות PHP, שעליה מבוססים אתרי אינטרנט רבים ובהם וורדפרס, הובילו בשבוע האחרון לפרסום עדכונים דחופים ולהשבתה זמנית של חלק מאתרי הממשל בעולם כאמצעי זהירות. הפרצות, שזוהו בסיוע כלי בינה מלאכותית ובידי צוותי מחקר נוספים, עלולות לאפשר בתנאים מסוימים הרצת קוד מרחוק על שרת פגיע ללא התחברות מוקדמת. הרשויות באירופה ובמדינות נוספות קוראות למנהלי אתרים לעדכן את PHP במהירות, אך מדגישות כי גילוי הפרצות אינו ראיה שכל אתר שמריץ PHP נפרץ.
הפרסום הרשמי נערך ב־21 באוקטובר 2026, לאחר תקופה של תיאום בין מפתחי PHP, חוקרי אבטחה, חברות תשתית וגופים ממשלתיים. רויטרס דיווחה ב־23 באוקטובר שההתפתחות עשויה לבשר גל חדש של גילוי חולשות ישנות בעזרת AI: במקום להמתין חודשים או שנים עד שחוקר אנושי יגלה בעיה, מודלים יכולים לסייע בבדיקות קוד בקצב גבוה. אבל מומחים אינם מסכימים שכל פרצה שמתגלה תוביל בפועל למתקפה מוצלחת. רויטרס, 23 באוקטובר · ENISA: אזהרה אירופית משותפת.
25 באוקטובר 2026. תמונת הכותרת היא אילוסטרציה של אדם העובד מול מחשב, ואינה תיעוד של התקפת סייבר או של חוקרי הפרצות. צילום: Clint Patterson / Unsplash.
מהן פרצות האבטחה שנמצאו ב־PHP?
שני מזהי הפרצות שעליהם התריעו הרשויות הם CVE-2026-109618 ו־CVE-2026-109619. על פי אזהרת שירותי הסייבר של מערכת הבריאות הבריטית NHS, ניצול מוצלח שלהן יכול לאפשר הרצת קוד שרירותי מרחוק או חשיפה של מידע רגיש מזיכרון תהליך PHP, בתנאים מסוימים. שתי החולשות דורגו בחומרה גבוהה, בציון 9.2 במדד CVSS גרסה 4, והן מוכרות גם בכינוי PHP2Shell. NHS Digital: פירוט הפרצות והעדכונים.
PHP היא שפת תכנות שרת שמפעילה מערכות ניהול תוכן, חנויות, אפליקציות ואתרים דינמיים. דף HTML פשוט שאינו מבוסס על PHP אינו בהכרח מושפע, ואילו מערכת שמריצה את אחת הגרסאות הפגיעות עלולה להיות חשופה בהתאם לתצורת השרת והשימוש בפונקציות הרלוונטיות. לא נכון לומר שכל אתר וורדפרס נפרץ, או שכל אתר עם גרסה ישנה הותקף בפועל.
איזה עדכון סוגר את הפרצות?
לפי הודעת ה־NHS והפרסומים הרשמיים של צוות PHP, התיקונים מופיעים בגרסאות PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 ו־PHP 8.2.35, או בגרסאות מאוחרות יותר באותו ענף. גרסאות PHP 8.1 ומטה אינן נתמכות כבר, ולכן אין להסתפק בחיפוש עדכון אבטחה רגיל עבורן; יש לתכנן מעבר לענף נתמך. רשימת הגרסאות באתר PHP · NHS: הגרסאות המתוקנות.
העדכון רלוונטי בראש ובראשונה לשרת שמריץ את PHP. עדכון תוסף של וורדפרס אינו מחליף שדרוג של גרסת PHP עצמה, אף שחשוב לעדכן גם את וורדפרס ואת התוספים שלה. מי שמפעילים אתר באחסון מנוהל צריכים לבדוק באיזו גרסת PHP השרת משתמש ולבקש מספק האחסון מידע על התקנת העדכונים. שדרוג גרסה חייב להיעשות תוך בדיקת התאמה של האתר והתוספים כדי למנוע תקלות אחרות.
אילו אתרי ממשל הושבתו – והאם מדובר בפריצה?
במהלך השבוע הודיעו גופי ממשל בכמה מדינות על השבתה זמנית של שירותים מסוימים ועל אמצעי הגנה מחמירים. בחלק מהמקרים האתרים הוסרו מהרשת ביוזמת המפעילים כדי לצמצם חשיפה עד להתקנת תיקונים, ולא לאחר שהוכח כי נפרצו. המרכז הלאומי להגנת סייבר בהולנד (NCSC-NL) היה בין הגופים שהשביתו זמנית את אתריהם כאמצעי זהירות.
בעדכון שפרסם ב־23 באוקטובר מסר המרכז ההולנדי שמסתמן כי ניצול הפרצות מורכב יותר מכפי שנחשש תחילה, וכי הסיכוי לניצול נרחב נמוך מההערכות הראשונות. עם זאת המליץ להמשיך להתקין עדכונים באופן מיידי. המרכז ציין שנודע לו על דיווח אפשרי אחד על ניצול מחוץ להולנד, אך לא הייתה בידו הוכחה חד־משמעית למתקפה מוצלחת. NCSC הולנד: עדכון ההערכה, 23 באוקטובר.
איך בינה מלאכותית עזרה למצוא את הפרצות?
חברת OpenAI פרסמה כי במסגרת יוזמת מחקר בשם Patch the Planet הצליחה מערכת AI לזהות חולשה קריטית ב־PHP. חברת אבטחת הענן Wiz זיהתה ודיווחה באופן עצמאי על שתי החולשות. צוות מפתחי PHP היה אחראי להובלת התיקונים, בשיתוף עם חוקרים וגופי תשתית נוספים. המקרה מדגים שימוש בבינה מלאכותית לצורכי הגנה – אך גם מדגיש שכאשר מידע על פרצה מתפרסם, תוקפים עלולים להיעזר בכלים אוטומטיים כדי להבין במהירות כיצד היא פועלת. OpenAI: תיאום גילוי החולשות.
לפי קרן PHP, צוות האבטחה מתמודד בחודשים האחרונים עם מספר גדול של דיווחים, חלקם כפולים או שגויים. בינה מלאכותית יכולה לזרז מציאת באגים ובדיקת דיווחים, אך בני אדם צריכים לאמת את הממצאים, לכתוב ולבדוק תיקונים ולתאם פרסום כדי לא לחשוף אתרים לסיכון מיותר. קרן PHP: מה קרה בתהליך החשיפה.
איך בודקים אם אתר וורדפרס דורש עדכון?
תחילה כדאי לזהות באיזו גרסת PHP האתר פועל. בחלק מממשקי וורדפרס אפשר לראות מידע על גרסת השרת דרך ״כלים״ ו״בריאות האתר״; אפשר גם לפנות לספק האחסון או ללוח הבקרה של השרת. אם הגרסה ישנה מן הגרסה המתוקנת בענף שבו האתר פועל, יש לתאם עדכון. חשוב לבדוק את התאימות בגרסת ניסוי (Staging) אם האתר מורכב, ולשמור גיבוי עדכני של הקבצים והמסד לפני שדרוג משמעותי.
לאחר מכן כדאי לבדוק שהתוספים, ערכת העיצוב ומערכת וורדפרס עצמה מעודכנים; להפעיל אימות דו־שלבי לחשבונות מנהלים; ולהתייעץ עם ספק האחסון לגבי ניטור חריגות, לוגים ועדכוני אבטחה. מי שמזהה פעילות חשודה צריך להתייחס אליה כאל אירוע אבטחה, גם אם כבר הותקן התיקון – עדכון גרסה לבדו אינו מסיר בהכרח קוד זדוני שכבר הוחדר. המרכז הבריטי להגנת סייבר: הנחיות למפעילי אתרים.
האם כל אתר שכתוב בו PHP מסוכן כרגע?
לא. העובדה ש־PHP פועלת בחלק גדול מהאינטרנט אינה אומרת שכל גרסת PHP נותרה פגיעה או שהאקרים הצליחו לנצל את החולשות בכל אתר. השאלה תלויה בגרסה המדויקת ובתצורה. גם דירוג חומרה של 9.2 הוא הערכת הסיכון הפוטנציאלי, ולא מדד למספר האתרים שכבר נפרצו.
המומחים שצוטטו ברויטרס מעריכים שכמות חולשות התוכנה שיימצאו בסיוע AI עשויה לגדול במהירות. אולם ההשלכה אינה חד־כיוונית: אותם כלים יכולים לקצר את זמן האיתור והתיקון של בעיות, אם למפתחים יש יכולת לטפל בממצאים. הסיכון הגדול יותר הוא הפער בין קצב גילוי החולשות לקצב התקנת העדכונים במערכות אמיתיות. הסוגיה עולה גם בדיון על יכולות האבטחה של מודלים: למה חברת AI סינית הגבילה מודל שהיה יעיל מאוד באיתור דרכי פריצה?. רויטרס: עידן גילוי פרצות בעזרת AI.
הזווית הישראלית
עסקים, עמותות, אתרי חדשות וחנויות מקוונות בישראל משתמשים גם הם במערכות שמבוססות על PHP. עבור מי שמפעילים אתר קטן ללא צוות אבטחה ייעודי, הצעד המועיל ביותר הוא לוודא שספק האחסון עדכן את רכיבי השרת לפי ההנחיות הרשמיות, ולא רק ללחוץ על ״עדכון תוספים״. אין בדיווחים הנוכחיים ראיה שאתר ישראלי מסוים נפרץ או שהוא פגיע בלי לבדוק את גרסת התוכנה והתצורה שלו.
אחרי מה לעקוב
עדכוני האבטחה החדשים של PHP, פרסומי רשויות הסייבר ותיעוד של ניסיונות ניצול בפועל יהיו החשובים בשבועות הקרובים. בעלי אתרים צריכים לוודא שהעדכון הותקן בשרת ולהמשיך לעקוב אחרי התראות ספקי התשתית – גם לאחר שהסערה הראשונית בחדשות תדעך.
