פגיעויות PHP2Shell מאפשרות השתלטות על שרתי אינטרנט ללא התחברות; CISA, ה-NSA וה-FBI בארה"ב מתריעים להתקין טלאי אבטחה מיד, ואם לא ניתן – לכבות את השרתים
וושינגטון
שתי פגיעויות קריטיות המאפשרות הרצת פקודות בתוך שרתים ללא צורך בהזדהות התגלו ב-PHP, שפת תכנות הנמצאת בשימוש נרחב באתרי אינטרנט ובשרתי יישומי רשת, ובעקבות זאת הסוכנות לאבטחת סייבר ותשתיות של ארה"ב (CISA), הסוכנות לביטחון לאומי (NSA) ולשכת החקירות הפדרלית (FBI) קראו בזה אחר זה להתקנה מיידית של טלאי אבטחה. בין 21 ל-23 באוקטובר (שעון ארה"ב), פרסמו שלוש הסוכנויות הודעות על מזהי הפגיעויות CVE-2026-109618 ו-CVE-2026-109619 באמצעות התראות, הודעות לעיתונות והודעה לציבור (PSA). שלוש הסוכנויות אף שיתפו את ההמלצה שלפיה ארגונים שאינם יכולים לעדכן באופן מיידי צריכים לנתק את המערכות המושפעות מהרשת.
CISA מסרה כי פגיעויות 'php2shell' מאפשרות הרצת קוד מרחוק ללא הזדהות
בהתראה שפורסמה ב-21 באוקטובר, ציינה CISA כי שתי הפגיעויות, המכונות "php2shell", מאפשרות הרצת קוד מרחוק ללא הזדהות ב-PHP. כל התקנת PHP המטפלת בבקשות אינטרנט מושפעת מכך. CISA ציינה כדוגמאות את השילוב של Apache עם mod_php, וכן PHP-FPM, php-cgi, FrankenPHP ו-LiteSpeed. מבין אלה, השילוב עם mod_php סווג על ידי מפתחי PHP כבעל הסיכון הגבוה ביותר, הוסיפה CISA.
גרסאות הטלאי הן PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. CISA הצהירה כי על ארגונים לעדכן לגרסאות אלו באופן מיידי. עם זאת, CISA ציינה כי עד למועד פרסום ההתראה, לא נצפו מקרים של תקיפות מוצלחות בפועל שניצלו פגיעויות אלו. חשבון הסייבר של CISA פרסם באותו יום ב-X את מספרי שתי הפגיעויות והודיע לארגונים כי עליהם להתקין את הטלאי באופן מיידי.
🚨 Organizations should immediately patch critical PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619. These vulnerabilities enable unauthenticated #RCE and affect PHP installations serving web requests. Learn more: 🔗 https://t.co/8vu6SvNzfB pic.twitter.com/LUWik7aQcG
— CISA Cyber (@CISACyber) 2026년 10월 21일
CISA עדכנה את ההתראה ב-23 באוקטובר. היא הוסיפה כללי זיהוי של סיגמא (SIGMA) לאיתור פעילות חשודה ושילבה חומרים מסוכנויות שותפות. החומרים מהשותפים כוללים הנחיות ממרכז אבטחת הסייבר הלאומי של בריטניה, מרכז אבטחת הסייבר האוסטרלי שתחת מינהלת האותות האוסטרלית, מרכז אבטחת הסייבר הלאומי של ניו זילנד, המרכז הקנדי לאבטחת סייבר ומרכז אבטחת הסייבר הלאומי של הולנד.
באותו יום, גם ה-NSA פרסמה התראה בהודעה נפרדת לעיתונות.
ה-NSA הזהירה כי שחקני סייבר צפויים להפוך את הפגיעות לנשק
בהודעה לעיתונות מ-21 באוקטובר, ציינה ה-NSA כי צוות הפיתוח של PHP שחרר באותו יום (רביעי) טלאי קוד פתוח. ה-NSA ציינה כי PHP (קיצור של 'PHP: Hypertext Preprocessor') פועלת ברוב מערכות ההפעלה העיקריות, מורצת ישירות על שרתי אינטרנט ומוטמעת ב-HTML ליצירת דפי אינטרנט דינמיים. ה-NSA מסרה כי השימוש הנרחב בה עשוי ליצור סביבה מתאימה ביותר לניצול. ה-NSA כינתה את צמד הפגיעויות בשם "PHP2Shell", וציינה כי היא מעמידה בעדיפות עליונה את זיהויים של שחקני סייבר זדוניים המנסים לנצל אותן.
ה-NSA מסרה כי תוקף יכול להשיג שליטה על שרתי אינטרנט מושפעים ללא גישה מוקדמת או אימות. ה-NSA הוסיפה כי דרך נתיב זה, תוקף יכול לגנוב נתונים רגישים, לשבש שירותים או להתקדם עמוק יותר לתוך הרשת. ה-NSA ציינה כי הפגיעות היא כשל ב-PHP עצמה ולא ביישומים המאוחסנים או בהגדרות התצורה, כך ששרתים המריצים גרסאות PHP מושפעות חשופים למתקפה.
ה-NSA, האחראית על הביטחון הלאומי של ארה"ב, מסרה כי "שחקני סייבר צפויים להפוך את פגיעויות PHP2Shell לנשק". בשל הסיכון החמור, היא קבעה כי נדרשת התקנה מיידית של הטלאי בכל משרדי הממשל הפדרלי של ארה"ב וסוכנויותיו. ה-NSA המליצה לשמור על ערנות בשבועות הקרובים לגבי מכשירים ושירותים החשופים לאינטרנט ותלויים ב-PHP, לתגבר את הרישום ביומנים (logging), ולהחליף שירותי PHP שהגיעו לסוף חייהם (EOL) ואינם תואמים לטלאי האבטחה. חשבון אבטחת הסייבר של ה-NSA פרסם אף הוא את ההתראה ב-X באותו יום.
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or…
— NSA Cyber (@NSACyber) 2026년 10월 21일
בפרסום זה ציינה ה-NSA כי פגיעויות אלו מספקות לעיתים קרובות נתיב ישיר למערכת הקבצים או למסד הנתונים של השרת. היא המליצה להעביר מערכות למצב לא מקוון אם עדכון מיידי אינו אפשרי, והודיעה כי הנחיות מפורטות יפורסמו בקרוב.
ה-NSA המליצה לעקוב מקרוב אחר עדכונים, בציינה כי ספקי תוכנה אחרים עשויים לשחרר טלאים ברגע שיהיו מוכנים, ומסרה כי ניתן למצוא הנחיות הקלה עדכניות בעמוד הודעות האבטחה של מפתחי PHP. ה-NSA הצהירה כי תשתף פעולה עם מומחים מקהילת המודיעין ומ-CISA כדי לאתר ולתקן פגיעויות במערכות הממשל והביטחון הלאומי.
CISA דרשה מיפוי מקיף של כל המערכות המשתמשות ב-PHP
CISA דרשה תחילה מארגונים למפות את כל המערכות שבהן פועלת PHP בתוך הארגון. CISA ציינה כי מכיוון ש-PHP מוטמעת לעיתים קרובות בתוך תוכנות אחרות, היא עשויה שלא להיות גלויה לעין באופן מיידי. לאחר מכן קראה CISA להתקין טלאי אבטחה באופן מיידי, בראש ובראשונה במערכות החשופות לאינטרנט. ארגונים שאינם יכולים לעדכן באופן מיידי, או הממשיכים להשתמש בגרסת PHP 8.1 ומטה שאינה נתמכת עוד, נדרשים לנתק מערכות מבוססות PHP מהרשת עד להשלמת התקנת הטלאי או העדכון.
CISA קראה לעיין בהודעות האבטחה הרשמיות של מפתחי PHP כדי לוודא את הנחיות הטלאי. CISA ציינה כי חומות אש ליישומי רשת (WAF) עשויות לספק הגנה מסוימת עד לעדכון המערכות. CISA המליצה לנטר פעילויות חשודות, כגון תהליכי עבודה של PHP המריצים מעטפת פקודות (shell) או מורידים כלים.
ה-FBI פרסם ב-23 באוקטובר הודעה לציבור שמספרה I-102326-PSA, בהמשך לפרסום ברשתות החברתיות מ-21 באוקטובר. ה-FBI מסר כי PHP היא שפת תכנות בשימוש נרחב המפעילה אתרי אינטרנט ויישומי רשת, וכי שתי הפגיעויות עלולות לאפשר לשחקני סייבר זדוניים להריץ קוד מרחוק בליבת PHP, ובכך לסכן נתונים רגישים ורשתות. חטיבת הסייבר של ה-FBI פרסמה עדכון זה ב-X ב-21 באוקטובר.
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially… pic.twitter.com/tnwiQv5v0F
— FBI Cyber Division (@FBICyberDiv) 2026년 10월 21일
ה-FBI מסר כי עדכוני אבטחה כבר זמינים ויש ליישמם באופן מיידי. בעת מיפוי המקומות שבהם PHP קיימת, ה-FBI דרש לתת עדיפות למערכות החשופות לאינטרנט ולמוצרי ספקים הכוללים PHP בחבילה שלהם, ולנטר בשרתי אינטרנט תהליכי PHP המפעילים באופן בלתי צפוי מעטפות פקודה או מורידים קבצים. ה-FBI ציין כי מידע עדכני זמין בהודעות מפתחי PHP, בהתרעת האבטחה 2026-018 של CERT-EU של האיחוד האירופי, ובקטלוג הפגיעויות הידועות שנוצלו (KEV) של CISA. ה-FBI קרא לחברות ולמפעילי אתרים לוודא אם המערכות שלהם מושפעות. במקרה של זיהוי סימני חדירה, הוא קרא לבודד את המערכות המושפעות, לשמר את יומני שרת האינטרנט ויומני ה-PHP, ולדווח על האירוע לסניף ה-FBI המקומי או לאתר ic3.gov. ה-FBI ציין כי דיווחים אלה מסייעים לרשויות אכיפת החוק לזהות את הגורמים העומדים מאחורי המתקפה ולהזהיר ארגונים אחרים לפני שייפגעו.
מקורות (KST)
- CISA של ארה"ב, "Critical Vulnerabilities in PHP Require Immediate Patching" (פורסם ב-21 באוקטובר 2026, עודכן ב-23 באוקטובר): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- הסוכנות לביטחון לאומי של ארה"ב (NSA), "NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities" (21 באוקטובר 2026): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
- לשכת החקירות הפדרלית של ארה"ב (FBI), "Critical Vulnerability Alert: PHP Core" (הודעה לציבור I-102326-PSA, 23 באוקטובר 2026): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
- פוסט בחשבון הסייבר של CISA ב-X: https://x.com/CISACyber/status/2112947079458717969
- פוסט בחשבון אבטחת הסייבר של ה-NSA ב-X: https://x.com/NSACyber/status/2112903220209098897
- פוסט של חטיבת הסייבר של ה-FBI ב-X: https://x.com/FBICyberDiv/status/2112921648252719420