# PHP2Shell: שני פגמים קריטיים ב-PHP, אמברגו שהודלף, ומה באמת ידוע על ניצול

Published: 2026-10-22

PHP שלחה תיקוני חירום לשתי פרצות קריטיות לביצוע קוד מרחוק, CVE-2026-109618 ו-CVE-2026-109619, המכונות PHP2Shell. הגרסה יצאה ב-21 באוקטובר 2026. הפרק מסביר את שתי שגיאות הזיכרון במילים פשוטות, מדוע רמז מביקורת של 2024 המתין לתיקון, כיצד הודעת האמברגו הודלפה, ואילו מקורות אומרים מה לגבי ניצול. הוא גם מכסה את שחרור תיקון קריטי באותו יום של GitLab וצו קנס של 25 מיליארד דולר של Meta בניו מקסיקו.

Canonical: https://thedailydiff.dev/he/video/2026-10-22-php2shell/

## מה מכסה הסרטון הזה

- שני הפגמים מדורגים 9.2 ב-CVSS v4.0 על ידי צוות PHP. הגרסאות המתוקנות הן PHP 8.2.35, 8.3.36, 8.4.27 ו-8.5.12; PHP 7.4, 8.0 ו-8.1 קיבלו תיקוני מקור בלבד. PHP אומרת שעדכון הוא הפתרון המלא היחיד.
- הפגם הראשון נובע מכך ש-PHP משאירה בקשה חצי בנויה כשהיא נגמרת מזיכרון ברגע הלא נכון. השני נובע מצביע שנותר לזיכרון של בקשה אחת שבה בקשה מאוחרת יותר באותו עובד יכולה להשתמש. על Apache עם mod\_php הנתיב הראשון פועל לפני קוד היישום.
- מפתח ליבה של PHP מצא את הסימנים הראשונים לבעיית הזיכרון במהלך ביקורת של 2024. קרן PHP אומרת שלתיקונים מתחרים היו פשרות וצוות אבטחה מבוסס קונצנזוס התקשה לבחור, והיא מכנה זאת כשל מבני.
- הקרן אומרת שמזהי CVE הודלפו ב-20 באוקטובר, קאליף פרסם בטעות סרטון הוכחת היתכנות, ו-Chainguard פרסמה תמונות בנויות עם התיקון יותר משש שעות לפני השחרור. מנכ"ל Chainguard אומר שאנשים כבר נפגעו ושהוא מצא את הבאגים באופן עצמאי.
- מקורות חלוקים לגבי ניצול. אמזון רשמה ניסיון ב-17 באוקטובר ומאוחר יותר אמרה ש-PHP2Shell נוצלה באופן נרחב. watchTowr דיווחה על ניצול בטבע. CISA לא הבחינה בניצול בעת הפרסום, וצוות PHP לא מצא ניצול פונקציונלי בעת השחרור. רבים משיטות הוכחת היתכנות הציבוריות מדווחות כלא עובדות.
- בדקו כל מקום שבו PHP פועל, כולל עותקים בתוך תוכנות אחרות, עדכנו, הפעילו מחדש עובדים ובדקו יומנים החל מ-17 באוקטובר.

## שאלות ותשובות

### מהן שתי פגיעויות ה-PHP2Shell?

PHP2Shell מתייחס לשני פגמים קריטיים ב-PHP, CVE-2026-109618 ו-CVE-2026-109619, שניהם מדורגים 9.2 על ידי צוות PHP. הראשון משאיר בקשה חצי בנויה כש-PHP נגמר מזיכרון ברגע הלא נכון, והניקוי סומך עליה. השני משאיר מצביע לזיכרון של בקשה אחת שבה בקשה מאוחרת יותר באותו עובד יכולה להשתמש. שניהם יכולים להוביל לביצוע קוד ללא התחברות.

### אילו גרסאות PHP קיבלו תיקון ל-PHP2Shell, ומה לגבי גרסאות לא נתמכות?

פרויקט PHP פרסם תיקונים בגרסאות 8.2.35, 8.3.36, 8.4.27 ו-8.5.12 ב-21 באוקטובר. עבור גרסאות 7.4, 8.0 ו-8.1 הוא פרסם תיקוני מקור בלבד, ו-BleepingComputer מדווח שספקי הפצות ותמיכה לטווח ארוך עשויים לספק תיקונים מועברים. PHP אומרת שאין פתרון עוקף מלא, ולכן עדכון או בקשה מספק לחבילה מתוקנת היא הבחירה הבטוחה היחידה.

### מדוע באג זיכרון ידוע ב-PHP לקח עד אוקטובר 2026 כדי לתקן?

קרן PHP אומרת שמפתח ליבה מצא את הסימנים הראשונים לבעיית הזיכרון במהלך ביקורת אבטחה של 2024, אך לא היה ידוע על נתיב ניצול וכל תיקון מועמד כלל פשרות כגון שבירות תאימות. צוות האבטחה מחליט בקונצנזוס והתקשה לבחור, והקרן מכנה זאת כשל מבני שנגרם על ידי תהליך קבלת ההחלטות וחוסר משאבים.

### האם PHP2Shell מנוצל, וכמה קל לנצל אותו?

מקורות חלוקים. אמזון תיעדה ניסיון ניצול ב-17 באוקטובר ומאוחר יותר אמרה ש-PHP2Shell נוצלה באופן נרחב, ו-watchTowr דיווחה על ניצול בטבע. CISA לא הבחינה בניצול בעת הפרסום, וצוות PHP לא ראה ניצול פונקציונלי בעת השחרור. watchTowr אומרת שרוב סקריפטי הניצול הציבוריים קורסים או לא עושים כלום, ו-VulnCheck מצאה שביצוע קוד עובד רק בחלק מההגדרות.

### מה הייתה פסק הדין של The Daily Diff על PHP2Shell?

פסק הדין של The Daily Diff היה SHIP IT: שלחו את עדכון PHP הלילה, מכיוון שהגרסה החדשה היא התיקון המלא היחיד. CISA אומרת לרשום כל מערכת המריצה PHP, כולל עותקים בתוך תוכנות אחרות, להחיל את התיקון, ולהוריד מערכות PHP מהאינטרנט אם לא ניתן לעדכן אותן. אמזון ממליצה לבדוק יומנים החל מ-17 באוקטובר, אז היא ראתה את הניסיון הראשון.

## פרקים

- 0:00 מי ניסה את PHP2Shell ארבעה ימים מוקדם יותר?
- 0:41 מהם שני באגי ה-PHP2Shell?
- 1:37 מדוע באג ידוע המתין שנתיים?
- 1:54 מי מצא את PHP2Shell, ואיך?
- 2:20 כיצד הודלף אמברגו ה-PHP2Shell?
- 2:50 האם PHP2Shell מנוצל, ועל ידי מי?
- 3:43 מה הממשלות הורידו מהאינטרנט?
- 4:11 אילו גרסאות PHP מקבלות תיקון?
- 4:30 מה עושים עם PHP2Shell הלילה?
- 4:45 מה עוד שוחרר היום עם תיקון RCE קריטי?
- 5:01 מדוע מטא נצטוותה לשלם 25 מיליארד דולר?
- 5:18 מהי הגנת Chainguard לתיקון המוקדם?
- 5:38 מה מקבל את חותמת SHIP IT?

## תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

### מי ניסה את PHP2Shell ארבעה ימים מוקדם יותר?

0:00 אמברגו אבטחה אמור לשמור על באג בשקט עד שהתיקון נשלח. אמזון תיעדה ניסיון נגד באג קריטי של PHP ארבעה ימים מוקדם יותר. בסרטון הזה, מי מצא את זה? כיצד האמברגו הודלף? וכמה זה רע, באמת? ולחברה שהואשמה בהדלפה יש הגנה שלא ציפיתי לה. אגיע לזה. זה יום חמישי, עשרים ושניים באוקטובר, וזה The Daily Diff.

0:21 PHP היא שפת סקריפטים שבונת דפי אינטרנט בשרת ממש לפני שהם מגיעים אליך. היא בת למעלה משלושים שנה, ועל פי הערכה אחת, מריצה כשבעים אחוז מהאתרים, כולל וורדפרס והתוכנה שמאחורי ויקיפדיה. מפתחים אוהבים ללעוג לה, בדרך כלל מדף ש-PHP משרתת אותם. התחזוקה שלה היא מלכ"ר עם כשלושה עשר מהנדסים.

### מהם שני באגי ה-PHP2Shell?

0:41 ביום רביעי, PHP שלחה תיקוני חירום לשני פגמים קריטיים שמאפשרים לזר להריץ קוד על שרת ללא התחברות. יחד הם נקראים PHP2Shell, והם מגיעים עד PHP חמש נקודה ארבע. הנה הבאג הראשון במילים פשוטות. PHP מקצה לכל בקשה תקציב זיכרון. אם בקשה מגיעה למגבלה הזו בדיוק ברגע הלא נכון, PHP נסוגה בחופזה ומשאירה את הבקשה חצי בנויה. ואז שלב הניקוי בוטח בדבר החצי בנוי.

1:07 הבאג השני הוא שארית. שגיאה קטלנית יכולה להשאיר פתק המצביע על זיכרון שהיה שייך לבקשה האחרונה. אותו עובד מטפל בבקשה הבאה ועוקב אחר הפתק. עד אז מישהו אחר גר בכתובת הזו. ב-Apache עם mod PHP, הנזק קורה לפני שהקוד שלך פועל, כך שדף ההתחברות שלך לעולם לא מקבל קול. וויז אומר שאפילו סקריפט hello world חשוף. התיקון מסיר את יציאת החירום של PHP מזיכרון שנגמר.

1:32 במקום לצאת באמצע בקשה, PHP עוצרת כעת בנימוס בנקודה הבטוחה הבאה. החלק המוזר הוא עד כמה הרמז הראשון ישן.

### מדוע באג ידוע המתין שנתיים?

1:39 ב-2024, ביקורת אבטחה חיצונית הובילה מפתח ליבה של PHP ל לסימנים הראשונים של בעיית הזיכרון. לא היה ידוע על ניצול, וכל תיקון שבר משהו. צוות שמחליט בקונצנזוס לא יכול היה לבחור, אז הבאג המתין. ואז באוגוסט, מוצאים הגיעו תוך ימים.

### מי מצא את PHP2Shell, ואיך?

1:56 החוקר ראיין אוסטין מקאליף מצא אותו ב-1 באוגוסט, ועבד דרך תוכנית Patch the Planet של OpenAI. OpenAI דיווחה על אותה סיבת שורש באופן עצמאי. וויז מצא וריאנטים כמה שבועות לאחר מכן עם דגמי Gemini ו-GPT. אוסטין אומר שהוא השתמש בדגמים שכל אחד יכול להשיג, בתוספת תיאוריה על היכן מסתתרים באגים ישנים של PHP. OpenAI אומרת ש-AI פורץ דרך היה המפתח. הבאג הסתתר במשך יותר מעשור. ההשקה תוכננה ליום חמישי.

### כיצד הודלף אמברגו ה-PHP2Shell?

2:21 ביום שלישי, שני מספרי ה-CVE החלו להסתובב באינטרנט, עם זמן שחרור שגוי וציון שגוי של עשר. PHP הקדימה את השחרור ביום אחד. באותו ערב, קאליף פרסם בטעות סרטון של הוכחת ההיתכנות שלו עובד, ועודפים שרדו את המחיקה. ביום רביעי בבוקר, יותר משש שעות לפני השחרור, Chainguard פרסמה תמונות בנויות המכילות את התיקון. PHP אומרת שכל תוקף יכול היה ללמוד את התיקון הזה בזמן שכולם המתינו.

2:46 תיקון הוא גם diff, ותוקפים קוראים diffs.

### האם PHP2Shell מנוצל, ועל ידי מי?

2:50 אז מי באמת נפגע? מלכודת הדבש של אמזון תיעדה ניסיון ב-17 באוקטובר ומאוחר יותר אמרה ש-PHP2Shell מנוצלת באופן נרחב. watchTowr מדווחת על ניצול בטבע. Cisa אמרה שלא הבחינה בניצול כשפרסמה, וצוות PHP לא ראה ניצול עובד בעת השחרור. מנכ"ל Cloudflare אמר שהוא ראה אלפי ניסיונות בעשר השעות שלפני ה הודעה, ומיליונים עד יום חמישי בבוקר.

3:13 אמזון זהירה בנקודה אחת. היא לא יודעת אם הניסיונות המוקדמים ביותר שלה היו עובדים על מערכת אמיתית. ניסיון הוא רק דפיקה על הדלת. אז כמה זה רע, באמת? watchTowr אומרת שניצולים ציבוריים שמתפשטים לרוב קורסים או לא עושים כלום. VulnCheck אומרת שביצוע קוד עובד בחלק מההגדרות, ואף אחד מהציבוריים לא מנצח את אקראיות הזיכרון בשרתי x86 סטנדרטיים. החוקר אליאס טיילור אומר שזה רחוק מלהיות קל כמו Log4Shell.

3:40 כולם עדיין אומרים לתקן. ממשלות לא המתינו לפסק הדין.

### מה הממשלות הורידו מהאינטרנט?

3:44 ה-NSA אמר לארגונים שלא יכלו לתקן להוריד מערכות PHP מהאינטרנט, והמרכז הלאומי לאבטחת סייבר בבריטניה נתן עצה דומה. אתרים הולנדיים, כולל שירות הזהות הדיגיטלי הלאומי, ירדו מהאינטרנט, יחד עם אתר משטרת פריז. ויקימדיה הורידה כמה מערכות כאמצעי זהירות. פאלו אלטו נטוורקס מנתה יותר מעשרים ושניים מיליון מופעים חשופים. ופרופסור אוסטרלי ציין את הנקודה החדה ביותר. האתרים שצריך לדאוג להם הם אלה שלא ירדו היום.

### אילו גרסאות PHP מקבלות תיקון?

4:11 קיימים תיקונים ל-PHP שמונה נקודה שתיים עד שמונה נקודה חמש. עבור שבע נקודה ארבע, שמונה נקודה אפס ושמונה נקודה אחת, PHP פרסמה תיקוני מקור בלבד. גרסאות ישנות יותר לא מקבלות דבר מפרויקט PHP, אז שאלו את ההפצה שלכם. פתרונות עוקפים מקטינים את הסיכויים, אך PHP אומרת שעדכון הוא הפתרון המלא היחיד. זהו אותו שיעור כמו בפרק eMudhra של אתמול,

### מה עושים עם PHP2Shell הלילה?

4:32 מכיוון שקיומו של תיקון אינו זהה לכך שלתהליך הרץ יש אותו. מצאו כל PHP בערימה שלכם, אפילו את העותקים המסתתרים בתוך תוכנות אחרות. עדכנו, הפעילו מחדש את העובדים, ובדקו יומנים החל מ-17 באוקטובר. באותו יום, GitLab שלחה שחרור תיקון קריטי,

### מה עוד שוחרר היום עם תיקון RCE קריטי?

4:47 תשע עשרה נקודה חמש נקודה אחת. גלישת מספרים במהדר הביטויים הרגולריים שלה מאפשרת למשתמש לא מאומת להריץ קוד על השרת, והוא זוכה לציון עשר מתוך עשר. GitLab.com כבר תוקן. התקנות מנוהלות עצמית זקוקות לעדכון.

### מדוע מטא נצטוותה לשלם 25 מיליארד דולר?

5:01 בינתיים בניו מקסיקו, שופט הורה למטא לשלם עשרים וחמישה מיליארד דולר בפיצויים על פרשת קיימברידג' אנליטיקה. חבר המושבעים מנה יותר מארבעים ושלושה מיליון הפרות בסך של עד חמשת אלפים דולר כל אחת, שהסתכמו בכמאתיים ועשרים מיליארד לפני שהשופט חתך אותו. מטא אומרת שהיא תנצח בערעור. ועכשיו ההגנה שהבטחתי.

### מהי הגנת Chainguard לתיקון המוקדם?

5:19 מנכ"ל Chainguard סיפר ל-The Register שהוא מצא את אותם באגים בעצמו ביום שישי בערב, לאחר שנודע לו שמשהו עומד להגיע ב-PHP, עם הנחיה בסיסית למצוא פגיעויות רעות. הוא אומר שהוא שלח מוקדם מכיוון שאנשים כבר נפגעו. אם אתם מעדיפים לקרוא את זה מאשר לשמוע אותי אומר את זה, ה-diff נוחת בתיבת הדואר הנכנס שלכם כל בוקר, בחינם ב-the daily diff dot dev, קישור למטה. אז פסק הדין של היום הוא SHIP IT.

### מה מקבל את חותמת SHIP IT?

5:39 שלחו את עדכון PHP הלילה, מכיוון שמספר הגרסה החדש הוא התיקון המלא היחיד. וזה ה-diff להיום. אני ניקו מ-Axrisi. מזגו באחריות.

## מקורות

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News