רעידת אדמה בסייבר: הפירצה החמורה ב-PHP, חלון התגובה שהתקצר והסכנה לעולם העסקי

מאמר מאת אסף חזן, CTO קספרסקי ישראל

דמיינו שהמנעול בדלת הכניסה בבניין שלכם התברר כניתן לפריצה וכמוהו מותקן ברוב הבניינים בעיר. זה בערך מה שקרה השבוע לאינטרנט כששתי פרצות אבטחה חמורות במיוחד (CVE-2026-109618 ו-CVE-2026-109619) התגלו בליבת שפת התכנות PHP ומאפשרות לתוקפים להריץ קוד מרחוק ולהשתלט על שרתים ללא צורך בשם משתמש, סיסמה או הרשאות מנהל. הכשלים קיבלו דירוג חומרה של 9.2 במדד CVSS.

PHP היא שפת תכנות שפועלת מאחורי הקלעים של אתרים: היא מרכיבה את הדף שאתם רואים בחנות מקוונת, בבלוג או באתר של רשות כלשהי. לפי Wiz היא מפעילה כ-70% מהאתרים בעולם, ובהם WordPress. ב-21 באוקטובר פורסמו תיקוני חירום לשתי פגיעויות בליבת השפה, בשם PHP2Shell ובחומרה 9.2 מתוך 10. בפשטות – התוקף יכול להשתלט על שרת בלי סיסמה, לגנוב מידע ולהשחית את האתר. הפעם הבעיה בשפה עצמה ולא בתוסף אחד והיא קיימת בכל גרסה מ-5.4, כלומר כעשור.

מה שהחמיר את המצב הוא הזמן. הפרטים דלפו לפני המועד שנקבע לפרסום. אמזון (AWS) זיהתה ניסיון ניצול של הפגיעות כבר ב-17 באוקטובר, ארבעה ימים מוקדם יותר, ו-Cloudflare הפעילה כבר שכבת הגנה מהפגיעות ללקוחותיה אך הגדירה אותו פתרון זמני בלבד. בהולנד, אתרי ממשלה כמו DigiD ירדו מהאוויר כאמצעי זהירות.

מה קרה מתחת למכסה המנוע?

שתי הפגיעויות נובעות מאותו כשל – איך PHP מתנהגת כשמשהו משתבש בזמן שהיא מטפלת בבקשה שמגיעה מהאינטרנט. כשנגמר לה הזיכרון באמצע העבודה, היא נעצרת באופן חלקי ומשאירה מאחוריה נתונים שבורים או ישנים, שהיא ממשיכה להשתמש בהם כאילו הם תקינים. תוקף שיודע לגרום לכך בכוונה, יכול לדחוף את PHP להריץ קוד שלו וכך להשתלט על השרת. הבעיה מתרחשת מוקדם, לפני שהאתר עצמו בכלל מתחיל לעבוד, בעיקר בהתקנות עם Apache ו-mod_php. לכן לא משנה כמה האתר מאובטח ואין תיקון שאפשר לעשות ברמת האפליקציה: חייבים לעדכן את PHP עצמה. הגדרות זמניות Firewall או WAF מצמצמות חלק מדרכי התקיפה, אבל לא סוגרות אותן. לצד העדכון, כדאי לחפש סימני פריצה כגון הפעלות מחדש לא מוסברות של תהליכי PHP, או תוכנות שנפתחות מתוך שרת האינטרנט.

ההבדל בין חברות שיש להן מודעות ויכולת להגיב, לאלה שאין להן

הסיכון לא פוסח על אף חברה, קטנה כגדולה. הוא קיים אצל כולן וכולן צריכות להיערך ולהגיב בהתאם. ההבדל היחיד הוא ביכולת הארגונית להכיל את האירוע. בחברות גדולות ישנה מודעות, רגולציה, צוותי אבטחה ושכבות הגנה והעדכון מתבצע תוך שעות בצירוף פעולות מנע ושימוש בשכבות הגנה נוספות  כך שככל הנראה האיום וההשפעה יהיו בהתאם. הסכנה האמיתית היא בעסקים הקטנים, שכבר היום מטורגטים הרבה יותר, לצד מודעות שכמעט לא קיימת. אסטרטגיית הסייבר של מערך הסייבר הלאומי מגדירה את האזרחים והעסקים הקטנים והבינוניים כשכבה הגדולה והפגיעה ביותר במשק. בחודש מרץ 2026, מסר ראש מערך הסייבר ש- 50 אירועים של מחיקת מידע התרחשו ברובם בארגונים קטנים ואילו חברות מוגנות יותר לא נפגעו. הוא ציין גם את משרדי עורכי הדין ורואי החשבון.

Project CAV3RN, קמפיין ריגול נגד ישראל שקספרסקי עוקבת אחריו מאז דצמבר 2025, מדגים זאת כשערוץ השליטה שלו משתמש בתיבת מייל נגועה של ארגון קטן כמו משרד עורכי דין ישראלי ומשם הנוזקה מתחילה להתגלגל במשק ועל פי מערך הסייבר הלאומי בהנחיותיו לעסקים קטנים ובינוניים, 90% מהמתקפות שזיהה ניצלו חולשה בתוכנה שלא עודכנה. בדיוק התרחיש של PHP2Shell.

האם ניתן לכנות זאת הפגיעות של השנה? אין מדד רשמי לכך והנזק בפועל טרם נמדד, אבל בזהירות ניתן לומר שכנראה כן. כשליבה של שפה שמפעילה את רוב האינטרנט נפרצת והפירצה מנוצלת עוד לפני הפרסום, יש כאן פוטנציאל לתואר המפוקפק הזה..

והחלק החשוב מכולם- הפגיעויות נמצאו בעזרת בינה מלאכותית Wiz וחברת Calif איתרה אותן, כל אחת בנפרד, בסיוע מודלים מתקדמים. לדברי Wiz, פיתוח ניצול לבאג מורכב כזה כבר אינו חסם ובאגים בני עשור נמצאו ושורשרו בפחות משבוע. המשמעות היא שמי שמחזיק בכלים כאלה, מגינים או תוקפים, מקצר את הדרך מגילוי לניצול וחלון התגובה שלנו כמגינים מצטמצם משמעותית.

אז מה עושים? להלן מספר טיפים פרקטיים:

גולשים- אין צורך בפעולה טכנית. כדאי לא להשתמש באותה סיסמה בכמה אתרים ותמיד מומלץ לשמור על תחלופת סיסמאות. זו המלצה ידועה, שכדאי מדי פעם להדגיש אותה.

בעלי עסקים ואתרים – מומלץ לפנות היום לחברת האחסון / חברת האבטחה ולוודא שבוצעו עדכונים / הוחלו חוקי ניטור וזיהוי.

מנהלי מערכות – חייבים לעדכן מיד, לראות ברכיבי הגנת תקשורת שכבה משלימה בלבד ולבדוק יומני התראה (לוגים) אחורה לפחות עד ה- 17 באוקטובר 2026.

בזירת הסייבר הנוכחית, עדכונים מתרחשים תוך שעות ולא חודשים ולנו אין זמן להתעכב על התראות בודדות, אלא לנהל את הסיכונים בזמן אמת. זה השוני שמביא עמו ה- AI – המערכות יפסיקו לספק לנו התראות ממוקדות על הסיכונים ואנחנו נדרש לחבר את חלקי הפאזל בעצמנו. בעידן ה- AI, אנחנו נקבל סיכון שמורכב כבר מכמה התראות בודדות וממוקדות ונקצר את זמן הזיהוי וראיית התמונה השלמה. הניצחון בענף יהיה שייך למי שיודע להרכיב ולפענח את הפאזל הטכנולוגי במהירות ובדיוק המרביים.