PHP2Shell בדיקת דומיין מאומתת CVSS 9.2 · CRITICAL

עדכון אבטחה · פורסם 21 באוקטובר 2026

PHP2Shell — הרצת קוד מרחוק בליבת PHP

שתי חולשות קריטיות בליבת PHP מאפשרות לתוקף להריץ קוד על השרת ללא כל אימות. כאן תבינו אם אתם חשופים, ומה בדיוק צריך לעשות — לעצמכם ולספקים שלכם.

CVE-2026-109618CVE-2026-109619
בדיקת דומיין שבבעלותכם

זהו מרכז מידע. הבדיקה העצמית למטה רצה כולה בדפדפן שלכם, על גרסה שאתם מקלידים. לבדיקה חיה של דומיין שבבעלותכם יש סורק ייעודי שמחייב קודם הוכחת בעלות. אל תריצו בדיקות נגד מערכות שאינן שלכם ושאין לכם הרשאה לבדוק — זו עבירה.

רקע

מה זו החולשה

PHP2Shell הוא השם שניתן לצמד חולשות בליבת PHP עצמה — לא בתוסף או בתבנית, אלא במנוע שמריץ כמעט כל אתר דינמי שני באינטרנט. שתיהן דורגו 9.2 (קריטי) ומאפשרות הרצת קוד מרחוק ללא התחברות.

CVE-2026-109618

Memory

כשל בטיפול בזיכרון: כשנגמר הזיכרון בזמן שנתוני הבקשה עדיין בהרכבה, שלב הניקוי מתייחס לנתונים החלקיים כאילו היו תקינים — פתח להשתלטות.

CVE-2026-109619

Use-after-free

שימוש בזיכרון משוחרר: מצב שנשאר מבקשה אחת מצביע לזיכרון שכבר שוחרר, ובקשה מאוחרת על אותו worker יכולה להשתמש בו. אושרה גם דליפת מידע מהזיכרון.

כבר יש קוד ניצול ציבורי במחזור, וחברות אבטחה מדווחות ששחזרו את המחקר באופן עצמאי — ההגנה דחופה, לא תיאורטית. אל תורידו "כלי בדיקה" לא רשמיים: חלקם דווחו כנגועים בתוכנה זדונית.

כלי

בדיקה עצמית — האם אתם חשופים?

הקלידו את גרסת ה‑PHP שרצה אצלכם, והבדיקה תגיד אם היא בטווח הפגיע. הכול מתבצע בדפדפן שלכם — שום דבר לא נשלח לרשת.

לא בטוחים איזו גרסה רצה אצלכם? הריצו בשרת שלכם:

php -v

או בדקו בלוח האחסון (cPanel / Plesk ← PHP version), או עם phpinfo() באתר שבבעלותכם.

רוצים לבדוק דומיין חי במקום גרסה? אפשר לסרוק דומיין שבבעלותכם, אחרי הוכחת בעלות.

אימות בעלות וסריקה
גרסאות

גרסאות פגיעות ומתוקנות

שדרגו לגרסה המתוקנת של הענף שלכם — או גבוהה ממנה. ענפים שהגיעו לסוף חיים (7.4 עד 8.1) לא קיבלו גרסה רשמית, רק תיקוני מקור חלקיים; עדיף לעבור לענף נתמך.

מקור: ההודעות הרשמיות של PHP.net ו‑Imunify360. ודאו מול המקור בזמן אמת.
ענף PHPסטטוסגרסה מתוקנת
8.5.xפגיע מתחת ל‑8.5.128.5.12
8.4.xפגיע מתחת ל‑8.4.278.4.27
8.3.xפגיע מתחת ל‑8.3.368.3.36
8.2.xפגיע מתחת ל‑8.2.358.2.35
7.4 – 8.1סוף חיים — ללא גרסה רשמיתמעבר לענף נתמך
ספקים

ספקים וכלים רלוונטיים

כל דבר שרץ על PHP מושפע ברגע שה‑PHP שתחתיו פגיע. ברוב המקרים התיקון הוא עדכון גרסת ה‑PHP של האחסון — לא של האפליקציה. הניסוחים מתומצתים; ראו ההודעה הרשמית של כל ספק.

WordPress

עדכנו PHP

וורדפרס עצמו אינו החולשה — אבל הוא רץ על PHP. עדכנו את גרסת ה‑PHP בלוח האחסון לגרסה המתוקנת של הענף.

Plesk

מושפע

Plesk מפיץ PHP משלו ופרסם הנחיה ייעודית לעדכון ה‑PHP המצורף. עדכנו דרך Plesk ולא ידנית.

cPanel / Imunify360

חוק WAF

חוקת ה‑WAF 8.83 של Imunify360 חוסמת את תבנית הניצול הציבורית ב‑ModSecurity ו‑Coraza; ב‑LiteSpeed רק מתעדת. אין תחליף לעדכון PHP.

Palo Alto PAN-OS

אין תיקון עדיין

Palo Alto מסמנת את PAN‑OS כמושפע, ללא תיקון זמין בשלב זה. עקבו אחר עדכון הספק ויישמו הקלות ביניים.

Google Cloud

הנחיה

Google פרסמה הנחיית תגובה לחולשות ליבת ה‑PHP, כולל מיפוי שירותים ושדרוג סביבות ריצה מנוהלות.

Laravel · Drupal · Joomla · Magento

עדכנו PHP

כל מסגרת PHP חשופה דרך מנוע הריצה. עדכנו את ה‑PHP בסביבה, הפעילו מחדש את ה‑workers, וודאו שהפרודקשן על גרסה מתוקנת.

פעולה

מה לעשות עכשיו

צעדי הגנה בלבד — בלי פרטי ניצול. בצעו לפי הסדר, והתחילו מהפרודקשן החשוף לאינטרנט.

  1. מפו את גרסאות ה‑PHP

    בכל שרת, קונטיינר ואחסון מנוהל. אל תשכחו staging, cron ו‑CLI.

  2. שדרגו לגרסה המתוקנת

    8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 ומעלה. ענף סוף‑חיים? עברו לענף נתמך.

  3. הקלת ביניים ל‑CVE-2026-109619

    כהמלצת PHP: כבו את session.upload_progress והפעילו מחדש את תהליכי ה‑worker כדי לנקות מצב תקוע.

  4. הפעילו חסימה ב‑WAF

    עדכנו את חוקות ה‑WAF (למשל Imunify360 8.83). שכבת הגנה משלימה — לא תחליף לעדכון.

  5. בקשו אישור מהספקים

    פנו לספקי האחסון, ה‑SaaS וה‑CDN ובקשו בכתב אילו גרסאות PHP הם מריצים ומתי יעדכנו.

  6. נטרו ותעדו

    חפשו קריסות worker חריגות ובקשות חשודות בלוגים, ושמרו תיעוד שדרוג מסודר.

שאלות ותשובות

שאלות נפוצות

האם האתר שלי בוורדפרס פגיע?
תלוי בגרסת ה‑PHP של האחסון, לא בוורדפרס עצמו. בדקו את הגרסה (ראו "בדיקה עצמית") ועדכנו בלוח האחסון לגרסה מתוקנת.
עדכנתי את התוספים — זה מספיק?
לא. החולשה היא בליבת PHP. עדכון תוספים או תבניות לא מתקן אותה; צריך לעדכן את גרסת ה‑PHP של הסביבה.
אני על ענף סוף‑חיים (7.4–8.1). מה עכשיו?
אין גרסה רשמית מתוקנת לענפים האלה, רק תיקוני מקור חלקיים. המסלול הבטוח הוא מעבר לענף נתמך (8.2 ומעלה) בגרסה מתוקנת.
יש כלי שסורק דומיין חי?
כן — אבל רק אחרי שמוכיחים בעלות על הדומיין (או הרשאה מפורשת), דרך הסורק שלנו. הבדיקה פסיבית: היא קוראת את כותרות השרת ומסיקה גרסה, בלי לנצל שום דבר. סריקה של מערכת שאינה שלכם וללא הרשאה היא עבירה.
יש כבר ניצול בשטח?
כן — יש קוד ניצול ציבורי במחזור, וחברות אבטחה מדווחות על שחזור עצמאי של המחקר. התייחסו לעדכון כדחוף.
מקורות

מקורות והודעות רשמיות

כל קביעה בעמוד נשענת על המקורות האלה. בכל ספק — המקור הרשמי קובע.

php2shell.comהאתר הרשמי · Wiz × OpenAI × Calif nvd.nist.govNVD · CVE-2026-109618 nvd.nist.govNVD · CVE-2026-109619 php.netהודעת PHP הרשמית rapid7.comRapid7 · ETR tenable.comTenable · FAQ sansec.ioSansec · Research jfrog.comJFrog Security socradar.ioSOCRadar plesk.comPlesk · הודעת אבטחה paloaltonetworks.comPalo Alto · PAN-OS cloud.google.comGoogle Cloud · תגובה imunify360.comImunify360 · חוק WAF wiz.ioWiz · מאגר חולשות

הצהרת פרטיות

מדיניות עוגיות

הצהרת נגישות