ב־30 שניות
- מעבדת המחקר Wiz Research ו-Calif, בעזרת מודלי AI מתקדמים (Wiz Atlas, Gemini 4 Argon ו-GPT-5.6 Sol), חשפו מספר חולשות קריטיות בליבת PHP - השפה שמפעילה כ-70% מאתרי האינטרנט, ביניהם אתרים על WordPress, Drupal, Joomla ו-MediaWiki של ויקיפדיה. החולשות קובצו תחת שני מזהי CVE, בחומרה של עד 9.2 בסולם CVSS.
- הפגיעות מאפשרת לתוקף לא מזוהה להריץ קוד מרחוק על השרת, או לקרוא זיכרון רגיש של תהליך ה-PHP - כולל סיסמאות, טוקנים ומפתחות API. Wiz הדגימה פריצה מלאה ללא אימות בגרסאות הקונטיינר העדכניות של WordPress, Drupal ו-Joomla, ומדגישה: הבאג ב-PHP עצמו, כך שגם אפליקציית "Hello World" פשוטה פגיעה.
- צוות PHP שחרר אתמול (ד') תיקון שמטפל בכל הווריאנטים בגרסה המעודכנת. ב-OpenAI, שהשתתפה בתיאום תחת יוזמת Patch the Planet, קראו לרגע הזה "חלון המגנים": לפי הידוע לחברה, מודלי ה-AI מצאו את הפרצות לפני התוקפים. גורמי ממשל מארה"ב ועד יפן קוראים לעדכן מיידית, ואתרים כמו ויקיפדיה ו-4chan הורידו שירותים זמנית כדי להתעדכן.
מה נחשף: חולשות בליבת PHP, לא באתרים עצמם
מעבדת Wiz Research פרסמה אתמול (ד') מחקר על מספר חולשות קריטיות בליבת PHP, שפת התכנות בקוד פתוח שמפעילה כ-70% מאתרי האינטרנט, ובהם אתרים על WordPress, Drupal, Joomla ו-MediaWiki - התוכנה שעליה רצה ויקיפדיה. החולשות קובצו תחת שני מזהי CVE - CVE-2026-109618 ו-CVE-2026-109619 - וחומרתן מגיעה עד 9.2 בסולם CVSS. לפי Wiz, כל גרסת PHP ששוחררה בעשור האחרון פגיעה לפחות באחת מהחולשות, החל מגרסה 5.4, ומומלץ לעדכן מיידית.
החולשות הן בעיות בטיחות-זיכרון שמקורן באופן שבו PHP מטפלת בשגיאות קריטיות (fatal errors), ובפרט שגיאות מיצוי זיכרון, במהלך עיבוד בקשות. שגיאות אלו עלולות להשאיר אחריהן מצב פנימי פגום לאחר שהבקשה הסתיימה בצורה בלתי צפויה; בקשה או תהליכון מאוחרים יותר יכולים לעשות שימוש חוזר באותו מצב מיושן, ולהוביל לחשיפת זיכרון או להשחתתו. מעבר לארבעת הבאגים שדווחו, מציינים ב-Wiz שקיימים וריאנטים נוספים בקוד - אבל התיקון של צוות PHP מטפל בבעיה בשורשה ומבטל את כל הווריאנטים בגרסה המעודכנת.
מה תוקף יכול להשיג - ומה הודגם בפועל
ב-Wiz שילבו את החולשות לתסריט ניצול אחד, php2shell, והדגימו הרצת קוד מרחוק ללא אימות (pre-authentication RCE) על הגרסאות העדכניות של קונטיינרי WordPress, Drupal ו-Joomla. הפלטפורמות האלו הן רק דוגמה: קוד החולשה נמצא ב-PHP עצמו, ולכן ניצול אינו תלוי בבאג באפליקציה - גם אפליקציית "Hello World" פשוטה על גרסה פגיעה יכולה להיות חשופה.
בנפרד, הודגמה חשיפת זיכרון רגיש של תהליך ה-PHP ללא צורך בהרצת קוד: סיסמאות, טוקנים של אימות, מפתחות API ותעודות - של בקשות אחרות או של השרת עצמו. מכיוון שהחולשות פועלות מתחת לשכבת האפליקציה, ייתכן שלוגי האפליקציה לא יכילו כמעט הקשר - מה שמקשה על זיהוי ניסיונות ניצול.
נקודת המפנה של ה-AI: פגם בן עשור שהפך לנשק בתוך שעות
הקוד הפגיע התקיים יותר מעשור, אבל הפיכת הפגמים לכלי ניצול עובד דרשה שרשור של מספר חולשות והתאמה לאופן שבו PHP מקצה וממחזרת זיכרון בין בקשות - עבודה שהייתה קשה ליישום ידנית ועוד קשה יותר להרחבה לפריסות שונות, לפי Wiz. החוקרים השתמשו ב-Wiz Atlas, ב-Gemini 4 Argon של גוגל וב-GPT-5.6 Sol של OpenAI לאורך המחקר; לדבריהם, מודלי ה-AI מאפשרים להתאים ניצול לגרסאות, תצורות ומבני זיכרון שונים, לנתח כשלים ולחזור על התאמות - ומורידים באופן משמעותי את המאמץ המומחה הנדרש לכל יעד.
רלוקה עדה פופה, ראשת אבטחת Gemini ב-Google DeepMind, אמרה ש-Gemini 4 Argon תרם תרומה משמעותית למציאת החולשה, לפיתוח הניצול, לזיהוי התקיפה ולאימות התיקון. "במשך יותר מעשור, החולשות הקריטיות האלה נותרו ללא מענה כי גילוי וניצול פגיעות היו מורכבים באופן קיצוני", אמרה. ב-Wiz מסכמים שחוקר יחיד, עם מודלי מתקדמים והכלים המתאימים, השלים בשבוע עבודה שבעבר הייתה דורשת מצוות ברמה עולמית חודשים.
במקביל, Calif זיהה באופן עצמאי פגם קריטי באמצעות GPT-5.6 Sol, במסגרת יוזמת Patch the Planet של OpenAI, כש-Wiz גילתה ודיווחה על שתי החולשות באופן עצמאי אף היא. צוות התחזוקה של PHP הוביל את התיקונים והשחרור, וב-Wiz מודים לצוות PHP, ל-Calif ול-OpenAI על הגילוי, התיאום ואימות התיקון.
"חלון המגנים": תיאום חסר תקדים לפני החשיפה
ב-OpenAI כתבו כי זו אחת מבעיות האבטחה המשפיעות ביותר בזיכרון האחרון, וכי - לפי הידוע לחברה - מודלי מתקדמים מצאו את החולשות לפני התוקפים, מה שפתח "חלון מגנים" (Defender's Window) למתחזקים ולספקיות אבטחה להכין תיקונים והגנות לפני החשיפה. טרם הפרסום עבדה Wiz Research עם צוות PHP, עם Calif ועם OpenAI על הגילוי, התיאום ואימות התיקון, ושיתפה פעולה עם Google Cloud, Cloudflare, AWS, מיקרוסופט, Automattic, Fastly, Akamai, Imperva ו-Vercel בהכנת הנחיות, זיהויים ומיטיגציות מובנות לארגונים שלא יכולים לעדכן מיידית.
OpenAI פירטה גם את הרכיב הממשלתי: בשיתוף עם שותפותיה, החברה פעלה מול גורמים בממשל האמריקאי, כולל כוח הסופר-אינטליגנציה של הבית הלבן, משרד מנהל הסייבר הלאומי (ONCD) וסוכנות הסייבר CISA, וכן מול שותפים בינלאומיים. לפי Axios, גורמי ממשל מארה"ב ועד יפן מזהירים חברות להחיל את התיקון - או לשקול להוריד את האתרים כדי להימנע מתקיפה - וחלק מבעלי האתרים אכן הורידו אתמול שירותים זמנית, ביניהם שירותים מסוימים של ויקיפדיה ושל 4chan, עד שהספיקו לעדכן את מערכותיהם.
OpenAI הודיעה שתשקיע מיליארד דולר בהטבת גישה ל-Daybreak עבור מגנים בחזית - ארגונים עם משאבי אבטחה מוגבלים המגנים על שירותים חיוניים - ושחררה כלי לבדיקת גרסת PHP כסקיל של Codex. בנוסף, החברה הציעה מסגרת תגובה בת חמישה שלבים לחולשות קריטיות בתוכנה נפוצה, וקראה לקהילת האבטחה לסייע בשיפורה. "הדבר ממחיש איך AI יכול לחשוף פגמי אבטחה בהשפעה בקנה מידה של האינטרנט, אבל אותן יכולות יכולות גם לעזור לתוקפים לפתח במהירות כלים התקפיים וניצולים", נכתב בבלוג של החברה.
מה עדיין לא נודע
ב-Wiz מדגישים שקיימים וריאנטים נוספים של הבעיה בקוד PHP, מעבר לארבעת הבאגים שדווחו, ושחלקם אולי אינם מתועדים; הערכת החברה היא שהפגם מושרש עמוק בקוד ודורש תיקון מקיף - ולכן רק עדכון לגרסה המתוקנת, ולא מיטיגציות בלבד, מספק הגנה מלאה. לא נמסר אילו גרסאות PHP מדויקות יצאו עם התיקון ומה הנוהל לגרסאות ישנות שכבר אינן נתמכות.
לפי Axios, מגני הסייבר נערכים לגל אפשרי של תקיפות שינצלו את שתי החולשות בשבועות הקרובים, ומייקל לילנד, Field CTO בחברת Island, אמר לאתר כי "מגנים תמיד הסתמכו על הפער בין 'פגיע' ל'ניתן לניצול' כדי לקנות זמן לתיקון - והפער הזה נסגר במהירות". ב-OpenAI מצפים שממצאים דומים יגדלו תלולית בחודשים הקרובים, ושאלות פתוחות נותרו גם לגבי חלונות חשיפה, עדכוני חירום ממונעים ממשלתית, והתראה מוקדמת - נושאים שעליהם מבקשת החברה משוב ציבורי.
המשמעות שמעבר לכותרת
זו, לדברי החוקרים, אחת החולשות החמורות שהתגלו ב-PHP - ואולי בהיסטוריה של התוכנה בכלל - ונקודת מפנה לעידן ה-AI בסייבר: הפגמים התקיימים בקוד יותר מעשור, אבל הפיכתם לנשק דרשה שרשרת צעדים מורכבת בקצה היכולת האנושית; מודלי מתקדמים הפכו את העבודה הזו למעשית בתוך שעות. כפי ש-Heartbleed ב-2014 ו-Log4Shell ב-2021 חשפו שבריריות בתשתיות משותפות, כך PHP2Shell ממחיש שהפער בין "פגיע" ל"ניתן לניצול" נסגר במהירות, לדברי מייקל לילנד, Field CTO בחברת Island. אותן יכולות שמצאו את הפרצה יכולות לשרת גם תוקפים - ולכן העיתוי, לפני פרטים פומביים מלאים, קריטי למיליוני אתרים, כולל אתרי וורדפרס ישראלים רבים.
צעד יישומי אחד
מי שמפעיל אתר או שרת מבוסס PHP - כולל כמעט כל אתר וורדפרס, דרופל או ג'ומלה - צריך לעדכן לגרסת PHP המתוקנת שפורסמה אתמול; לדברי Wiz, עדכון ה-PHP הוא התרופה השלמה היחידה. עד להתקנת התיקון, ספקיות כמו Cloudflare, AWS, Akamai, Fastly, Imperva, Vercel, Automattic ומיקרוסופט הכינו מיטיגציות וכללי זיהוי מובנים. בין איתותי האזהרה שמומלץ לחפש בלוגים: בקשות multipart חריגות שלאחריהן שגיאות מגבלת זיכרון או HTTP 500 חוזרות, עוגיות PHPSESSID גדולות או מעוותות באופן חריג, ואתחולים חוזרים ונשנים של תהליכי PHP. OpenAI שחררה גם כלי בדיקת גרסת PHP כסקיל של Codex שמסייע לזהות גרסאות פגיעות, וב-CISA פרסמה הנחיות לתעדוף עדכונים לפי חשיפה וסיכון.
מקורות ובדיקת עובדות
ד״ר יניב שנהב
יועץ ארגוני בכיר ומנחה, העוסק במנהיגות, שינוי התנהגותי והטמעת בינה מלאכותית בארגונים. מביא למערכת מבט ניהולי ויישומי על חדשות הטכנולוגיה.
לפרופיל של ד״ר יניב שנהב
