PHP תיקנה שתי חולשות קריטיות שהתגלו בסיוע AI

פרויקט PHP פרסם ב-21 באוקטובר ארבע גרסאות אבטחה שמתקנות שתי חולשות קריטיות בסביבת ההרצה: CVE-2026-109618 ו-CVE-2026-109619. שתיהן קיבלו ציון 9.2 לפי CVSS v4 ועלולות לאפשר לתוקף להריץ קוד על שרת בלי להתחבר אליו. הגרסאות המתוקנות הן PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35.

החולשה הראשונה קשורה לטיפול במצב של מחסור בזיכרון. לפי תיאור PHP, עצירה בזמן שאתחול נתוני הבקשה עדיין חלקי עלולה לגרום לתהליך הניקוי להתייחס למידע פגום כאל מידע תקין. החולשה השנייה משאירה מצב פנימי נגיש אחרי שהזיכרון שמאחוריו כבר שוחרר; בקשה מאוחרת יותר באותו תהליך עובד עלולה להשתמש במצב הישן לפני האתחול הרגיל.

מי צריך לפעול עכשיו

האזהרה חלה על התקנות PHP שמשרתות בקשות רשת, ובהן PHP-FPM, ‏Apache עם mod_php, ‏php-cgi, ‏FrankenPHP ו-LiteSpeed. צוות PHP מציין שהסיכון הגבוה ביותר שנבדק הוא ב-mod_php, שם הוצגה דרך תקיפה שמתחילה לפני שקוד האפליקציה עצמו רץ. לכן התחברות משתמשים, הרשאות בתוך האתר או תוסף אבטחה אינם מכסים לבדם את שכבת הסיכון הזאת.

הצעד המלא הוא עדכון סביבת ההרצה לגרסה מתוקנת. PHP פרסמה כמה הקלות זמניות, אבל מדגישה שהן חוסמות רק מסלולי תקיפה מסוימים. גרסאות 8.1 ומטה כבר אינן מקבלות עדכונים מהפרויקט; מפיצי לינוקס וספקי תמיכה ארוכת טווח עשויים לפרסם תיקונים משלהם. מנהלי מערכות צריכים לבדוק את חבילת הספק, לבצע הפעלה מחדש של התהליכים ולוודא שכל מאגרי השרתים משתמשים בבינארי החדש.

הצוות פרסם גם תיקוני מקור מצומצמים ל-PHP 7.4, ‏8.0 ו-8.1 עבור מי שבונה את סביבת ההרצה בעצמו או תלוי בגרסה ישנה. זה אינו תחליף לחבילת ספק מוכנה: צריך לבנות מחדש, לפרוס לכל העובדים הפעילים ולבדוק שאין מאגר צדדי, משימת רקע או שרת בדיקות שנשאר עם הגרסה הפגיעה. ב-PHP 8.2 התמיכה האבטחתית הרשמית מסתיימת בסוף דצמבר 2026, ולכן העדכון הנוכחי גם מזכיר לתכנן מעבר לגרסה נתמכת.

איך AI נכנס לתמונה

OpenAI מסרה שהחוקר Calif מצא חולשה קריטית בעזרת GPT-5.6 Sol במסגרת Patch the Planet. חברת Wiz גילתה ודיווחה באופן עצמאי על שתי החולשות. במשך כחודשיים הוביל צוות PHP את התיקון, וגורמים נוספים, בהם OpenAI ו-Cloudflare, סייעו בבדיקות ובתיאום מול ספקי תשתית וגופי ממשל.

Associated Press דיווחה שכמה אתרים ממשלתיים באירופה הושבתו זמנית בזמן העדכון, וכי ה-FBI הזהיר מפני האפשרות להרצת קוד מרחוק. עצם השימוש הרחב ב-PHP אינו אומר שכל אתר פגיע באותה מידה; תנאי הניצול משתנים בין תצורות. בזמן הפרסום לא הוצגה ראיה פומבית לניצול פעיל של שתי החולשות. הטענה שהן נמצאו לפני תוקפים נשענת על המידע שבידי OpenAI והשותפים, ואינה הוכחה שאין ניצול שלא התגלה.