PHP היא שפת התכנות שמריצה חלק גדול מאתרי האינטרנט, ובכללם אתרי וורדפרס. החולשה הזאת מאפשרת, בתנאים מסוימים, להריץ קוד על השרת דרך שאריות שנותרות בזיכרון מבקשה קודמת, וב-26 באוקטובר 2026 נקבע רשמית שתוקפים מנצלים אותה בשטח. הציון שנקבע הוא 9.2, והתיקונים יצאו בגרסאות 8.2.35, 8.3.36, 8.4.27 ו-8.5.12.

מה החולשה?

שרת ווב מטפל בבקשה אחת אחרי השנייה, ואחרי כל בקשה הוא אמור לנקות אחריה: לשחרר את הזיכרון שבו השתמש ולאפס את המצב, כדי שהבקשה הבאה תתחיל מדף חלק.

לפי ההודעה של צוות PHP, הניקוי הזה אינו שלם. ל-PHP יש משתנים גלובליים שמצביעים באופן זמני אל הזיכרון של הבקשה הנוכחית. בחלק מהמצבים הם אינם מאופסים כראוי, או שהם מתמלאים מחדש אחרי שכבר אופסו.

התוצאה היא מצביע שממשיך להצביע אל זיכרון ששוחרר. הבקשה הבאה קוראת ממנו, או מקבלת על בסיסו החלטה, עוד לפני שהוא אותחל מחדש. זהו use after free, כלומר שימוש בזיכרון אחרי שהוא כבר שוחרר, ותוקף שמצליח לשלוט במה שיושב באותו אזור ברגע הנכון יכול להפוך אותו להרצת קוד.

ההודעה מציינת שכמה דרכים שונות מביאות למצב הזה. זה פרט חשוב, כי הוא אומר שאין כאן מסלול יחיד שנסגר אלא דפוס שחוזר בכמה מקומות.

מי מושפע?

רשימת הגרסאות ברשומה מתחילה ב-PHP 5.4.0 ונמשכת עד הגרסאות המתקנות: 8.2.35, 8.3.36, 8.4.27 ו-8.5.12. כל גרסה שקודמת להן בענף שלה חשופה, וזה טווח ארוך בהרבה מהרגיל.

בפועל זה אומר כמעט כל אתר שמריץ PHP: אתרי תוכן, חנויות, מערכות ניהול פנימיות. בישראל זה חותך את כל הסקאלה, מאתר של עסק קטן שיושב על אחסון משותף ועד מערכות גדולות עם שרתים משלהן.

הרשומה מונה כיום גם מוצרים שמריצים PHP בתוכם ולא רק את השפה עצמה: PAN-OS של פאלו אלטו בענף 10.2, מגרסה 10.2.0 ועד 10.2.11, בהתקנות Panorama. מי שמחזיק רכיב כזה אינו בוחר גרסת PHP בשום מקום, והתיקון מגיע אליו מהיצרן.

מצד שני, שווה לקרוא את וקטור ה-CVSS עד הסוף. הוא מציין מורכבות תקיפה גבוהה ותנאים נוספים שצריכים להתקיים כדי שהניצול יעבוד, כלומר זו אינה חולשה שמנצלים בשורה אחת מול כל שרת ברשת.

מה שכן, הסימון הזה מתאר כמה קשה לנצל, לא אם מנצלים. את השאלה השנייה סוגרת הכניסה לקטלוג של CISA.

האם מנוצלת בפועל?

כן. ב-26 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית. הקטלוג הזה אינו אוסף של החולשות החמורות ביותר אלא רשימה צרה יותר: אלה שיש עליהן ראיות לניצול בשטח. המועד שנקבע בעקבותיו לגופים הפדרליים בארצות הברית לתקן הוא 29 באוקטובר 2026.

בין הפרסום ב-NVD ב-21 באוקטובר לבין הסימון הזה עברו חמישה ימים.

הפרטים הטכניים, מצדם, היו פומביים מהיום הראשון. הודעת האבטחה של צוות PHP מתארת את הכשל, ולצידה מופיעות ברשומה שלוש פניות נפרדות לרשימת התפוצה oss-security, כולן מה-21 באוקטובר. מה שהקטלוג אינו מספר הוא מי מנצל את החולשה ובאיזה אופן, והרשומה אינה מוסיפה על כך דבר.

מה עושים?

עדכנו את PHP לגרסה המתוקנת בענף שלכם: 8.2.35, 8.3.36, 8.4.27 או 8.5.12. בדקו קודם איזו גרסה רצה אצלכם, למשל בפקודה php -v על השרת, או בדף פרטי המערכת של מערכת הניהול שלכם.

אם האתר יושב על אחסון משותף או על שירות מנוהל, העדכון אינו בידיכם. פנו לספק האחסון ושאלו באיזו גרסה אתם נמצאים ומתי הוא מעדכן. זו שאלה לגיטימית לחלוטין, וספק רציני יידע לענות עליה.

אם אתם מריצים שרת משלכם, עדכנו דרך מנהל החבילות של ההפצה ולא על ידי החלפת הגרסה ביד. ההפצות מוציאות את התיקון לענף שבו הן תומכות, ולעיתים מספר הגרסה אצלן נראה ישן יותר אף שהתיקון כבר בפנים.

ומכיוון שהחולשה מנוצלת בשטח, העדכון אינו סוף הטיפול בשרת שרץ חשוף. עברו על קובצי ה-PHP של האתר וחפשו קבצים שלא אתם יצרתם, בדקו משימות מתוזמנות ומשתמשים שנוספו, והשוו את הקוד שבשרת למה שנמצא אצלכם בניהול הגרסאות.

ההודעה של צוות PHP היא המקור הרשמי, ושם יתפרסמו גם עדכונים נוספים בנושא.