03/11/2026
חולשה אחת במנוע PHP. מיליוני שרתים חשופים.
ב-21 באוקטובר פורסמו עדכוני חירום לשתי חולשות קריטיות ב-PHP, שקיבלו את השם PHP2Shell (ציון חומרה 9.2).
החולשות מאפשרות לתוקף להריץ קוד על השרת מרחוק, בלי סיסמה. ניסיונות תקיפה זוהו עוד לפני שהעדכון יצא.
מה שחשוב להבין: החולשה לא נמצאת באתר או באפליקציה, אלא במנוע PHP עצמו. גם אם WordPress, Drupal וכדו' מעודכנות, השרת עדיין יכול להיות חשוף.
4 צעדים לעשות כבר השבוע:
✅ עדכנו את PHP לגרסה 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 ומעלה, והפעילו מחדש את השרת
✅ זכרו שעדכון האפליקציה לבד לא מספיק
✅ אם אתם עדיין על PHP 8.1 ומטה, הגיע הזמן לשדרג. הגרסאות האלה כבר לא מקבלות עדכוני אבטחה
✅ בדקו לוגים מ-20 באוקטובר והחליפו סיסמאות ומפתחות שהיו על השרת במידה וזיהתם חדירה