דרמה ברשת: פרצת האבטחה ב-PHP שמאיימת על 70% מהאתרים בעולם נחשפה בעזרת AI
נכתב בתאריך 22 באוקטובר 2026
הטעות הכי גדולה שאנחנו רואים אצל בעלי אתרים בישראל היא המחשבה שעדכון אוטומטי של וורדפרס או התוספים באתר שומר עליהם מוגנים לחלוטין. בשגרה זה אולי מספיק, אבל מול אבטחת אתרי וורדפרס ברמת השרת, האשליה הזו עלולה לעלות ביוקר.
ב-21 באוקטובר 2026 נחשפה ב-PHP פרצת אבטחה קריטית שזכתה לכינוי PHP2Shell (מזהים CVE-2026-109618 ו-CVE-2026-109619), והיא יושבת עמוק בתוך שפת התכנות שמניעה כ-70% עד 75% מהאינטרנט. שום תוסף אבטחה פשוט לא יתקן אותה עבורכם.
החשיפה הזו, שהתאפשרה בזכות שיתוף פעולה חסר תקדים בין מערכות בינה מלאכותית לחוקרי סייבר, הובילה להשבתת חירום של אתרי ממשל וארגוני ענק בעולם. הנה המשמעות המדויקת עבור האתר שלכם והצעדים שאתם חייבים לבצע עוד היום.
מהי פרצת PHP2Shell ולמה היא כל כך מסוכנת?
כדי להבין את גודל האירוע, צריך להבין ששפת PHP היא המנוע מאחורי הקלעים של כמעט שלושת רבעי מהאינטרנט. מערכת וורדפרס לבדה, שכולה בנויה על PHP, מפעילה כ-43% מכלל האתרים בעולם.
החולשה שנחשפה (אשר מורכבת משתי פרצות משולבות שקיבלו ציון חומרה של 9.2 מתוך 10 במדד CVSS v4.0) נובעת מכשל עמוק באופן שבו השפה מנהלת את זיכרון השרת. הכשל הזה קיים בקוד המקור כבר יותר מעשור, מאז גרסה 5.4, מבלי שאף עין אנושית הצליחה לזהות אותו.
בשפה פשוטה, הפרצה מאפשרת מה שנקרא הרצת קוד מרחוק ללא הזדהות (Unauthenticated RCE). תוקף יכול לשלוח בקשה מיוחדת לשרת, ותוך שניות להשתלט עליו לחלוטין, לגנוב מסדי נתונים וסיסמאות, או לשתול דלתות אחוריות מבלי להזדקק לשם משתמש או סיסמה.
איך בינה מלאכותית מצאה באג שהסתתר במשך עשור?
הסיפור מאחורי הגילוי של PHP2Shell מסמן שינוי עמוק בעולם הסייבר. הפרצה אותרה בסוף אוגוסט 2026 במסגרת יוזמת Patch the Planet, בשיתוף פעולה בין חוקרים מחברת הסייבר הישראלית Wiz, חברת Calif ו-OpenAI.
מי שעשו את עבודת הנמלים המורכבת הם מודלי שפה מתקדמים, בראשם GPT-5.6 Sol של OpenAI, מערכת Wiz Atlas ומודל Gemini 4 Argon של גוגל. המערכות הללו סרקו מיליוני שורות קוד היסטוריות וזיהו דפוס של דליפת זיכרון שאנשי קוד מנוסים פספסו במשך שנים.
התיקון שפיתחה קרן PHP יחד עם החוקרים וחברת Cloudflare היה מורכב, ודרש שינויים בכמעט 200 קבצי ליבה וכתיבה של למעלה מ-10,000 שורות קוד חדשות כדי לאטום את הפרצה בלי לשבור אתרים קיימים.
מרוץ החימוש: השבתות באירופה ומתקפות AI נגדיות
ברגע שעדכון האבטחה שוחרר ב-21 באוקטובר 2026, החל מרוץ חימוש נגד השעון. סוכנויות הביטחון המובילות בעולם, בהן ה-NSA, ה-FBI ו-סוכנות הסייבר האמריקאית CISA, הוציאו הנחיית חירום חריגה שלפיה מי שלא יכול לעדכן את השרת מיד, חייב להוריד את האתר מהאוויר.
ואכן, ראינו גל השבתות יזומות ברחבי אירופה והעולם. ממשלת פינלנד, משטרת פריז, סוכנות הסייבר של הולנד, מועצת אדינבורו, וכן גופי ענק כמו ה-BBC וקרן ויקימדיה (המפעילה את ויקיפדיה) השביתו זמנית מערכות ושירותים מקוונים כדי להתקין את הטלאי בבטחה.
הסיבה לבהלה מוצדקת לחלוטין. בחברת Cloudflare כבר דיווחו על זינוק בניסיונות תקיפה פעילים ברשת. תוקפים משתמשים כיום במודלים של בינה מלאכותית כדי לבצע הנדסה לאחור של עדכון האבטחה ששוחרר, להבין איפה בדיוק הייתה החולשה, ולייצר כלי פריצה אוטומטיים תוך דקות ספורות.
צעדי חירום לבעלי אתרים ומנהלי שרתים בישראל
כבעלי עסקים או מנהלי אתרים, אסור לכם להניח שהבעיה תיפתר מעצמה. במסגרת יישום נכון של אבטחת מידע לעסקים, עליכם לוודא שהתשתית שעליה יושב האתר שלכם קיבלה את עדכון הליבה של PHP.
ריכזנו בטבלה את רמת הסיכון והפעולה הנדרשת לפי סוג האחסון שלכם:
| סוג תשתית / אחסון | רמת סיכון מיידית | פעולה נדרשת |
|---|---|---|
| שרת פרטי (VPS) או ענן בניהול עצמי | גבוהה מאוד (אחריות מלאה שלכם) | התקנה ידנית של חבילות העדכון של ליבת PHP וסריקת השרת לדלתות אחוריות. |
| אחסון שיתופי רגיל | בינונית עד גבוהה (תלוי בספק) | פנייה לתמיכה לוודא שהוטמע הטלאי מ-21.10.26 ושדרוג גרסת PHP בלוח הבקרה. |
| אחסון וורדפרס מנוהל מוביל | ✓ נמוכה (לרוב מעודכן אוטומטית) | בדיקה מול חברת האחסון והפעלת חומת אש (WAF) כמו Cloudflare לחסימת בקשות חשודות. |
צ'קליסט בדיקה מיידית לבעל האתר
אם אין לכם איש סיסטם צמוד, בצעו את ארבעת הצעדים הבאים כדי להבטיח אבטחת אתר וורדפרס או כל מערכת מבוססת PHP אחרת שברשותכם:
האירוע הנוכחי ממחיש עד כמה סייבר ואבטחת מידע למנהלים הפכו לנושא יומיומי קריטי. בעידן שבו כלים אוטומטיים מוצאים ומנצלים חולשות במהירות שיא, תחזוקת השרת היא קו ההגנה הראשון על העסק שלכם.
שאלות נפוצות
מהי פרצת האבטחה הקריטית ב-PHP שקיבלה את השם PHP2Shell?
PHP2Shell הוא השם המשותף לשתי חולשות אבטחה חמורות בליבת שפת התכנות PHP (מזהים CVE-2026-109618 ו-CVE-2026-109619) שנחשפו ב-21 באוקטובר 2026. הפרצות נובעות מכשל בניהול זיכרון השרת שהיה קיים בקוד למעלה מעשור, והן מאפשרות לתוקפים להריץ קוד מרחוק ולהשתלט על השרת ללא צורך באימות או בסיסמה.
כיצד מודלים של בינה מלאכותית (AI) סייעו בחשיפת פרצת האבטחה ב-PHP?
הפרצה אותרה במסגרת יוזמת Patch the Planet באמצעות שילוב של מערכות AI מתקדמות, בהן המודלים GPT-5.6 Sol של OpenAI, Gemini 4 Argon של גוגל ומערכת Wiz Atlas, יחד עם חוקרים מחברות Wiz ו-Calif. הבינה המלאכותית סרקה לעומק את קוד המקור של PHP וזיהתה דפוסי שגיאות זיכרון מורכבים שחמקו מעיני מתכנתים אנושיים מאז גרסה 5.4.
אילו אתרים ומערכות ניהול תוכן (כמו וורדפרס) מושפעים מפרצת האבטחה ב-PHP?
הפרצה משפיעה על כ-70% עד 75% מכלל אתרי האינטרנט בעולם המבוססים על שפת PHP בצד השרת. בין המערכות הפגיעות נמצאות מערכות ניהול התוכן הפופולריות ביותר בעולם, כולל וורדפרס (WordPress) המניעה כ-43% מהרשת, דרופל (Drupal), ג'ומלה (Joomla) ומערכת המדיה-ויקי שמפעילה את ויקיפדיה.
איך בודקים אם האתר חשוף לפרצת האבטחה ב-PHP וכיצד מתקינים את עדכון האבטחה?
עדכונים רגילים מתוך לוח הבקרה של האתר אינם מתקנים את הפרצה. יש לבדוק בלוח הבקרה של השרת (או דרך כלי בריאות האתר בוורדפרס) שאתם מריצים גרסת PHP נתמכת ועדכנית, ולפנות לחברת האחסון או למנהל השרת (SysAdmin) כדי לוודא שהותקן ידנית עדכון הליבה ששחררה קרן PHP ב-21 באוקטובר 2026.
מדוע מדינות וארגונים בעולם השביתו אתרי אינטרנט בעקבות גילוי פרצת ה-PHP?
סוכנויות סייבר וביטחון עולמיות, בהן ה-NSA, ה-FBI ו-CISA, הוציאו הנחיית חירום להוריד מהרשת כל מערכת שלא ניתן להטמיע בה את עדכון האבטחה באופן מיידי. בעקבות זאת, גופים כמו ממשלת פינלנד, משטרת פריז, ה-BBC וקרן ויקימדיה השביתו זמנית שירותים מקוונים כצעד מנע עד להשלמת התיקון בשרתים שלהם.
מהן הסכנות בניצול פרצת האבטחה ב-PHP על ידי האקרים?
ניצול הפרצה מאפשר להאקרים להשתלט לחלוטין על השרת תוך שניות, לגנוב מסדי נתונים שלמים, לחשוף סיסמאות ומידע רגיש של לקוחות, להשתיל נוזקות ודלתות אחוריות (Backdoors) או להשחית את האתר. הסיכון גבוה במיוחד כיוון שתוקפים משתמשים כעת בכלי AI כדי לבצע הנדסה לאחור של העדכון ולתקוף שרתים שטרם עודכנו.
מה כדאי לזכור
פרצת PHP2Shell היא תזכורת חדה לכך שבעולם הטכנולוגי של 2026, הבינה המלאכותית משנה לחלוטין את מאזן הכוחות בין מגינים לתוקפים. כשחולשה ברמת ליבת השרת מאיימת על רוב אתרי האינטרנט בעולם, שאננות היא לא אופציה.
אל תסמכו על כך שמישהו אחר כבר טיפל בזה. הקדישו עשר דקות עוד היום כדי לוודא מול ספק האחסון או צוות הפיתוח שלכם שהשרת עודכן לגרסת ה-PHP המתוקנת ושכבות ההגנה של האתר פעילות.
