PHP2Shell בדיקת דומיין מאומתת CVSS 9.2 · קריטי

התראת אבטחה · 21 OCT 2026

PHP2Shell — הרצת קוד מרחוק בליבת PHP

שתי חולשות קריטיות בליבת PHP מאפשרות לתוקף להריץ קוד על השרת בלי שום התחברות. כאן תגלו אם אתם חשופים, ומה בדיוק לעשות — לכם ולספקים שלכם.

CVE-2026-109618CVE-2026-109619
בדיקת דומיין שבבעלותכם

זהו מרכז מידע עצמאי. הבדיקה העצמית שבהמשך רצה כולה בדפדפן שלכם, על גרסה שאתם מקלידים. לבדיקה חיה של דומיין שבבעלותכם יש סורק ייעודי שמחייב קודם הוכחת בעלות. אל תריצו בדיקות נגד מערכות שאינן שלכם ושאין לכם הרשאה לבדוק — זו עבירה.

הסביבה המושפעת

מי רץ על ליבת PHP

החולשה היא במנוע PHP עצמו — ולכן כל מה שרץ מעליו חשוף ברגע שה‑PHP שתחתיו פגיע. אלה חלק מהפלטפורמות והספקים המושפעים.

מושפעים מפני שהם רצים על PHP — לא בגלל פגם משלהם. הסמלים שייכים לבעליהם.

רקע

מה זו החולשה

PHP2Shell הוא השם לצמד חולשות בליבת PHP עצמה — לא בתוסף ולא בתבנית, אלא במנוע שמריץ כמעט כל אתר דינמי שני ברשת. שתיהן דורגו 9.2 (קריטי) ומאפשרות הרצת קוד מרחוק בלי התחברות.

CVE-2026-109618

Memory

כשל בטיפול בזיכרון: כשנגמר הזיכרון בזמן שנתוני הבקשה עדיין בהרכבה, שלב הניקוי מתייחס לנתונים החלקיים כאילו היו תקינים — פתח להשתלטות.

CVE-2026-109619

Use-after-free

שימוש בזיכרון משוחרר: מצב שנשאר מבקשה אחת מצביע לזיכרון שכבר שוחרר, ובקשה מאוחרת על אותו worker יכולה להשתמש בו. אושרה גם דליפת מידע מהזיכרון.

כבר יש קוד ניצול ציבורי בשטח, וחברות אבטחה מדווחות ששחזרו את המחקר באופן עצמאי — ההגנה דחופה, לא תיאורטית. אל תורידו "כלי בדיקה" לא רשמיים: חלקם דווחו כנגועים בתוכנה זדונית.

כלי

בדיקה עצמית — האם אתם חשופים?

הקלידו את גרסת ה‑PHP שרצה אצלכם, והבדיקה תגיד אם היא בטווח הפגיע ותסמן אתכם על סולם הגרסאות שלמעלה. הכול מתבצע בדפדפן — שום דבר לא נשלח לרשת.

לא בטוחים איזו גרסה רצה אצלכם? הריצו בשרת שלכם:

php -v

או בדקו בלוח האחסון (cPanel / Plesk ← PHP version), או עם phpinfo() באתר שבבעלותכם.

רוצים לבדוק דומיין חי במקום גרסה? אפשר לסרוק דומיין שבבעלותכם, אחרי הוכחת בעלות.

אימות בעלות וסריקה

מעדיפים לבדוק ישירות על השרת? הורידו סקריפט קצר שמזהה את כל גרסאות ה‑PHP המותקנות (כולל סביבות cPanel/Plesk) — רץ מקומית, בלי לשלוח כלום.

הורדת סקריפט בדיקה

להרצה על השרת (מומלץ לעבור על הקוד לפני הרצה):

curl -O https://php2shell.ai/php2shell-check.sh less php2shell-check.sh bash php2shell-check.sh

אימות שלמות (SHA‑256): 9cd4487db34b7b1c9e7113cced13ab712aa9a061802aeb41b7011e3f37165847

גרסאות

גרסאות פגיעות ומתוקנות

שדרגו לגרסה המתוקנת של הענף שלכם — או גבוהה ממנה. ענפים שהגיעו לסוף חיים (7.4 עד 8.1) לא קיבלו גרסה רשמית, רק תיקוני מקור חלקיים; עדיף לעבור לענף נתמך.

מקור: ההודעות הרשמיות של PHP.net ו‑Imunify360. ודאו מול המקור בזמן אמת.
ענף PHPסטטוסגרסה מתוקנת
8.5.xפגיע מתחת ל־8.5.128.5.12
8.4.xפגיע מתחת ל־8.4.278.4.27
8.3.xפגיע מתחת ל־8.3.368.3.36
8.2.xפגיע מתחת ל־8.2.358.2.35
7.4 – 8.1סוף חיים — ללא גרסה רשמיתמעבר לענף נתמך
ספקים

ספקים וכלים רלוונטיים

ברוב המקרים התיקון הוא עדכון גרסת ה‑PHP של האחסון — לא של האפליקציה. הניסוחים מתומצתים; ראו ההודעה הרשמית של כל ספק.

נבדק לאחרונה
גילוי ומעקב

נחשף ומתועד על ידי

חוקרי אבטחה וגופי ניטור שפרסמו ניתוחים והודעות רשמיות על החולשה. כל שם מפנה להודעה המקורית.

פעולה

מה לעשות עכשיו

צעדי הגנה בלבד — בלי פרטי ניצול. בצעו לפי הסדר, והתחילו מהפרודקשן החשוף לאינטרנט.

  1. מפו את גרסאות ה‑PHP

    בכל שרת, קונטיינר ואחסון מנוהל. אל תשכחו staging, cron ו‑CLI.

  2. שדרגו לגרסה המתוקנת

    8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 ומעלה. ענף סוף‑חיים? עברו לענף נתמך.

  3. הקלת ביניים ל‑CVE-2026-109619

    כהמלצת PHP: כבו את session.upload_progress והפעילו מחדש את תהליכי ה‑worker כדי לנקות מצב תקוע.

  4. הפעילו חסימה ב‑WAF

    עדכנו את חוקות ה‑WAF (למשל Imunify360 8.83). שכבת הגנה משלימה — לא תחליף לעדכון.

  5. בקשו אישור מהספקים

    פנו לספקי האחסון, ה‑SaaS וה‑CDN ובקשו בכתב אילו גרסאות PHP הם מריצים ומתי יעדכנו.

  6. נטרו ותעדו

    חפשו קריסות worker חריגות ובקשות חשודות בלוגים, ושמרו תיעוד שדרוג מסודר.

שאלות ותשובות

שאלות נפוצות

האם האתר שלי בוורדפרס פגיע?
תלוי בגרסת ה‑PHP של האחסון, לא בוורדפרס עצמו. בדקו את הגרסה (ראו "בדיקה עצמית") ועדכנו בלוח האחסון לגרסה מתוקנת.
עדכנתי את התוספים — זה מספיק?
לא. החולשה היא בליבת PHP. עדכון תוספים או תבניות לא מתקן אותה; צריך לעדכן את גרסת ה‑PHP של הסביבה.
אני על ענף סוף‑חיים (7.4–8.1). מה עכשיו?
אין גרסה רשמית מתוקנת לענפים האלה, רק תיקוני מקור חלקיים. המסלול הבטוח הוא מעבר לענף נתמך (8.2 ומעלה) בגרסה מתוקנת.
יש כלי שסורק דומיין חי?
כן — אבל רק אחרי שמוכיחים בעלות על הדומיין (או הרשאה מפורשת), דרך הסורק שלנו. הבדיקה פסיבית: היא קוראת את כותרות השרת ומסיקה גרסה, בלי לנצל שום דבר. סריקה של מערכת שאינה שלכם וללא הרשאה היא עבירה.
יש כבר ניצול בשטח?
כן — יש קוד ניצול ציבורי בשטח, וחברות אבטחה מדווחות על שחזור עצמאי של המחקר. התייחסו לעדכון כדחוף.
סיקור

הפרסומים המרכזיים בנושא

ריכוז הסיקור המשמעותי על PHP2Shell — ניתוחים של חברות אבטחה, דיווחי חדשות וטכנולוגיה, והתראות רשמיות. כל קישור מוביל למקור.

הרשימה מתעדכנת ונבדקת מול המקורות; הקישורים חיצוניים ואינם בשליטתנו. אל תורידו "כלי בדיקה" לא רשמיים.

מקורות

מקורות והודעות רשמיות

כל קביעה בעמוד נשענת על המקורות האלה. בכל ספק — המקור הרשמי קובע.

php2shell.comהאתר הרשמי · Wiz × OpenAI × Calif nvd.nist.govNVD · CVE-2026-109618 nvd.nist.govNVD · CVE-2026-109619 php.netהודעת PHP הרשמית rapid7.comRapid7 · ניתוח tenable.comTenable · שאלות ותשובות sansec.ioSansec · מחקר jfrog.comJFrog · מחקר אבטחה plesk.comPlesk · הודעת אבטחה paloaltonetworks.comPalo Alto · PAN-OS cloud.google.comGoogle Cloud · תגובה imunify360.comImunify360 · חוק WAF wiz.ioWiz · מאגר חולשות
עדכונים

הישארו מעודכנים

קבלו התראה על חולשות PHP חדשות ועדכוני אבטחה חשובים — בלי ספאם, ביטול בכל עת.

הצהרת פרטיות

מדיניות עוגיות

הצהרת נגישות