שתי פרצות קריטיות ב-PHP: חוקרי Wiz אומרים שמודלי AI הם שאפשרו להפוך אותן לפריצה עובדת
ה-PHP Foundation פרסם עדכוני אבטחה דחופים לשתי פרצות בדירוג חומרה 9.2. לפי הקרן, הפרצות פוגעות בכל התקנות PHP שמגישות דפי אינטרנט, ומאפשרות לתוקפים להריץ קוד על שרתים ולקרוא מידע רגיש מהזיכרון. לדברי Wiz, מודלי AI מתקדמים הם שאפשרו להראות שאפשר לנצל בפועל פגמים שהיו בקוד במשך שנים, והקרן קובעת: "עדכון הוא הבחירה הבטוחה היחידה".
צוותי אבטחה ומנהלי אתרים ברחבי העולם ממהרים לעדכן שרתים. ה-PHP Foundation, הגוף שמתחזק את שפת התכנות PHP, פרסם ביום רביעי עדכוני אבטחה דחופים לשתי פרצות קריטיות: CVE-2026-109618 ו-CVE-2026-109619. לפי הקרן, הפרצות פוגעות ב"כל התקנות PHP שמגישות בקשות אינטרנט", עד PHP 5 שיצאה ביולי 2004. ציון החומרה של שתיהן הוא 9.2 מתוך 10 במדד CVSS, הסולם המקובל לדירוג חולשות אבטחה. "אין מנגנוני הגנה מלאים, עדכון הוא הבחירה הבטוחה היחידה", כתבה הקרן בהודעות האבטחה שפרסמה.
AI כמכפיל כוח לחוקרים
את הפרצות חשפה חברת האבטחה Wiz, שבבעלות גוגל, ונתנה לשרשרת התקיפה שהדגימה את השם PHP2Shell. בפוסט שפרסמה בבלוג המחקר שלה החברה מסבירה שהפגמים עצמם היו בקוד במשך שנים. כדי להוכיח שאפשר לנצל אותם בפועל צריך היה לשרשר כמה חולשות זו לזו ולהתאים את התקיפה למבנה הזיכרון של כל שרת, ולדברי Wiz זו עבודה "בקצה של מה שחוקרים אנושיים יכולים לבצע באופן מעשי". לפי החברה, מודלי AI מתקדמים (frontier models) הורידו את המחסום הזה באופן משמעותי, ואפשרו לה לפתח ולהתאים פריצות עובדות לכמה אפליקציות בתוך שעות.
גם OpenAI וחברת האבטחה Calif מסרו, לפי Wired, שאיתרו את הבעיות באופן עצמאי ושעבדו יחד על הטיפול בהן. Wiz מודה בפוסט ל-OpenAI, ל-Calif ולצוות PHP על הגילוי, על התיאום ועל אימות התיקון.
לפי Wiz, כל הפרצות הן בעיות של בטיחות זיכרון (memory safety), והן נובעות מהדרך שבה PHP מטפלת בשגיאות קריטיות בזמן עיבוד בקשה, במיוחד כשנגמר לתהליך הזיכרון. במצב כזה עלול להישאר בזיכרון מצב פנימי משובש, ובקשה מאוחרת יותר עלולה להשתמש בו. התוצאה יכולה להיות הרצת קוד מרחוק בלי שום הזדהות, או חשיפה של זיכרון התהליך, שעשוי להכיל לפי החברה "סיסמאות, אסימוני הזדהות, מפתחות API ותעודות".
הנקודה החשובה היא שהבעיה נמצאת ב-PHP עצמה ולא באפליקציה שרצה עליה. כלומר, גם אתר שהקוד שלו כתוב היטב חשוף. Wiz מציינת ש-PHP מפעילה כ-70% מהאתרים בעולם, ובהם מערכות כמו WordPress, Drupal ו-MediaWiki, התוכנה שעליה רצה ויקיפדיה.
מירוץ נגד התוקפים
מוקדם יותר השבוע, ב-20 באוקטובר, פרסמה הקרן הודעה מוקדמת על התיקון שבדרך, בלי לפרט מה הפרצות. לפי דיווחים שמצוטטים ב-Wired, ייתכן שפרטים דלפו עוד לפני הפרסום הרשמי. חברת Cloudflare דיווחה שהיא "רואה ניסיונות תקיפה ראשונים" עוד לפני שהתיקונים יצאו, וחברת האבטחה Sansec העריכה ש"תקיפות המוניות יתחילו בתוך 15 דקות מהפרסום". כאמצעי זהירות, כמה ארגונים הורידו את האתרים שלהם מהרשת. בין היתר, לפי הדיווחים, אתרים של ממשלת פינלנד, אתרים של ממשלת צרפת ואתר נמל רוטרדם.
"זה לא תרגיל", אמר ל-Wired יועץ האבטחה העצמאי לוקאש אולייניק, עמית מחקר בכיר אורח ב-King's College London. "התרחיש הגרוע ביותר הוא נוזקה שמתפשטת מעצמה ופוגעת בחלקים גדולים מהאינטרנט". יועץ האבטחה דייוי אוטנהיימר הוסיף שהבאג נמצא בממשק העלאת קבצים: "התוקף לא צריך לדעת איזה אתר הוא תוקף. הוא שולח העלאה אחת שנבנתה במיוחד לכל שרת שהוא מוצא, וזו כל התקיפה".
למה זה חשוב
יש כאן שתי בעיות. הראשונה מעשית: רק PHP 8.2 ומעלה עדיין נתמכות ויקבלו תיקונים. המשמעות היא ששרתים ישנים ונשכחים, שהם תופעה נפוצה ברשת, עלולים להישאר חשופים לאורך זמן. השנייה רחבה יותר: Wiz משווה את PHP2Shell ל-Heartbleed ול-Log4Shell, ומעריכה שהיא עשויה לסמן נקודת מפנה לעידן ה-AI. ככל הנראה, הלקח הוא שמורכבות טכנית כבר לא מספיקה כדי להגן על קוד. כשמודל AI מקצר עבודה של שבועות לשעות, חולשות שנחשבו קשות מדי לניצול עלולות להפוך לאיום ממשי, גם בידי תוקפים.