PHP2Shell: מה קרה עם PHP ומה בעלי אתרים צריכים לעשות עכשיו

ב-21 באוקטובר 2026 פרסם צוות האבטחה של PHP עדכון חירום לשתי פרצות שקיבלו ציון חומרה 9.2 מתוך 10 (קריטי). החוקרים כינו אותן PHP2Shell. בקצרה: תוקף יכול היה להריץ קוד על השרת ולהשתלט עליו, בלי סיסמה ולפעמים בבקשה אחת בלבד.

למה זה מעניין בעל עסק? כי PHP היא השפה שמריצה את רוב האתרים בעולם, כולל וורדפרס, חנויות WooCommerce, ומערכות ניהול רבות שעסקים בישראל משתמשים בהן כל יום.

מה קרה, בקצרה

מה הבעיה עצמה

שתי הפרצות (CVE-2026-109618 ו-CVE-2026-109619) נמצאות בליבה של PHP, באופן שבו היא מנהלת זיכרון בין בקשה לבקשה. לפי הדיווחים:

• הראשונה מתרחשת כש-PHP נגמר לה הזיכרון באמצע טיפול בבקשה, והניקוי שאחריה משתמש בנתונים שלא הושלמו.
• השנייה משאירה "שאריות" מבקשה קודמת שבקשה הבאה באותו תהליך עלולה להשתמש בהן.

השורה התחתונה זהה בשתיהן: הרצת קוד מרחוק, בלי התחברות, עוד לפני שהאתר עצמו (וורדפרס, תוסף, קוד שלכם) בכלל מתחיל לרוץ. לכן גם אתר שכל התוספים שלו מעודכנים היה חשוף.

מי חשוף

כל שרת שמריץ PHP ומגיש דפי אינטרנט: PHP-FPM, Apache עם mod_php, php-cgi ועוד. לפי הדיווחים, הבעיה קיימת בקוד כבר שנים רבות, כך שגם גרסאות ישנות מושפעות.

נקודה חשובה: PHP מעדכנת רשמית רק את הגרסאות הנתמכות (8.2 עד 8.5). מי שעדיין על PHP 7.4, 8.0 או 8.1 נמצא בסיכון גבוה במיוחד. לפי הדיווחים, צוות PHP פרסם לגרסאות האלה תיקון מינימלי בקוד מקור בלבד, כלומר בפועל רוב בעלי האתרים יצטרכו לשדרג גרסה או לקבל תיקון מספק האחסון.

הגרסאות המתוקנות

מה לעשות היום

1. לברר על איזו גרסת PHP האתר שלכם רץ. בוורדפרס: כלים ← בריאות האתר ← מידע ← שרת. בכל אחסון אחר: בלוח הבקרה, או לשאול את התמיכה.

2. אחסון משותף או מנוהל? פנו לחברת האחסון ושאלו במפורש: "האם השרת שלי עודכן נגד PHP2Shell, ולאיזו גרסה?" אל תניחו שזה קרה לבד.

3. שרת משלכם? עדכנו את חבילות PHP מההפצה (רוב ההפצות קיבלו את התיקון מראש) והפעילו מחדש את PHP-FPM / Apache.

4. גרסה ישנה (8.1 ומטה)? זה הזמן לשדרג. אם אי אפשר מיד, הגבילו את הגישה לאתר (חומת אש לאפליקציות, VPN) עד שתשדרגו. גם Cloudflare פרסמה חוקי הגנה זמניים, ואפשר להשתמש בהם כפתרון ביניים, לא במקום עדכון.

5. חושדים שמשהו כבר קרה? חפשו קבצים חדשים ולא מוכרים בתיקיית האתר, משתמשי מנהל חדשים, ומשימות מתוזמנות (cron) שלא אתם יצרתם. אם מצאתם, נתקו את השרת ופנו לאיש מקצוע.

ומה עם TaskFlow?

המערכת של TaskFlow לא בנויה על PHP, ולכן הפרצות האלה לא נוגעות לה ישירות. מה שכן חשוב לבדוק הוא האתר והחנות שלכם: אם יש לכם חנות WooCommerce או אתר וורדפרס שמחוברים ל-TaskFlow (הזמנות, עגלות נטושות, טפסי לידים), עדכנו אותם. חיבור בטוח מתחיל באתר בטוח.

השורה התחתונה

זו אחת הפרצות החמורות שנמצאו ב-PHP אי פעם, והתיקון כבר זמין. רוב העבודה היא שאלה אחת לחברת האחסון או עדכון אחד בשרת. עדיף לעשות את זה היום, לפני שהניסיונות לנצל את הפרצה יתחילו בהיקף רחב.

מקורות:

• הודעת צוות PHP על עדכון האבטחה (php.announce)
• Help Net Security: הפרצות תוקנו, עדכנו עכשיו
• The Hacker News: PHP2Shell
• NCSC הולנד: מידע מבצעי על PHP2Shell