כוננות סייבר עולמית: עולם הסייבר חווה בסוף השבוע את אחד מרגעי המשבר החמורים ביותר של השנים האחרונות. שרשרת של פגיעויות אבטחה קריטיות נחשפה ב-PHP - שפת הפיתוח המרכזית שמאחורי הקלעים של כ-70% מאתרי האינטרנט ברחבי העולם. הפרצה, שכונתה על ידי החוקרים "php2shell", הסתתרה בקוד המקור במשך יותר מעשור מבלי שאיש הבחין בה, עד שכלי AI מתקדמים של OpenAI סרקו את המערכת והציפו אותה אל פני השטח.
הגילוי הצית גל פאניקה בינלאומי. סוכנויות ביון מערביות הוציאו התראות חירום חסרות תקדים, ממשלות הורידו אתרים רשמיים מהרשת, ענקיות תשתית זיהו מיליוני ניסיונות תקיפה בתוך שעות, וביפן אף הושבתו זמנית התראות החירום לרעידות אדמה וצונאמי.
מה זה PHP ולמה היא מניעה את העולם?
רוב המשתמשים ברשת מעולם לא שמעו את המושג PHP (ראשי תיבות של Hypertext Preprocessor), אך כל אדם שגולש באינטרנט עושה בה שימוש על בסיס יומיומי. מדובר בשפת תכנות צד-שרת בקוד פתוח, שפותחה עוד בראשית שנות ה-90.
כאשר גולשים לאתר חדשות, לחנות מקוונת או לאנציקלופדיית ויקיפדיה, PHP היא המנוע שפועל בשרת המרוחק. היא אוספת את המידע ממסד הנתונים, מעבדת אותו ומייצרת בזמן אמת את דף האינטרנט הדינמי שמוצג על המסך שלכם.
השפה הזו מהווה את עמוד השדרה של מערכות ניהול התוכן הפופולריות ביותר בעולם, ובראשן וורדפרס, שמפעילה לבדה קרוב למחצית מאתרי הרשת, לצד פלטפורמות כמו דרופל ופריימוורקים מרכזיים דוגמת Laravel ו-Symfony.
לפי נתוני חברת אבטחת הענן הישראלית Wiz, שלקחה חלק פעיל בחשיפת הפרצה, PHP מותקנת בבסיסם של כ-70% מכלל אתרי האינטרנט בעולם.
פצצת זמן בת עשור
קבוצת חוקרי אבטחה מחברות הסייבר Wiz ו-Calif חשפה שתי פגיעויות מובנות בליבת השפה עצמה (שקיבלו את המזהים CVE-2026-109618 ו-CVE-2026-109619), אשר השפיעו על כל גרסאות PHP ששוחררו בעשור האחרון. חומרת הפגיעות דורגה בציון חריג של 9.2 מתוך 10. ראיין אוסטין, חוקר בחברת Calif, הגדיר אותה בריאיון ל-BBC כ"פגיעות החמורה ביותר שגיליתי בכל שנותיי".
לפי הדוח של Wiz, תחת תנאים מסוימים, תוקפים מסוגלים לנצל את הפרצה כדי להשיג שליטה מלאה מרחוק על שרתי האינטרנט הפגיעים, להריץ בהם פקודות זדוניות, להשתלט על מערכת ההפעלה של השרת ולגנוב נתונים רגישים ומסדי נתונים שלמים. מומחי אבטחה הגדירו את הפגיעות כ"שווה ערך לנפל פצצה שהוטמן ביסודות האינטרנט ועמד להתפוצץ".
מה באמת קרה כאן?
תחשבו על בניין משרדים ענק ומאובטח שבו יושבים אלפי עסקים, בנקים ומשרדי ממשלה. לכל משרד יש דלת פלדלת עם קוד סודי. פתאום, התברר שבמשך עשר שנים, בכל מערכת צינורות האוורור של הבניין יש פתח סודי שדרכו כל אדם יכול לזחול ישירות אל מאחורי הדלפק של כל משרד - מבלי להקיש שום קוד ומבלי להפעיל אזעקה.
זה בדיוק מה שקרה ב-PHP. המתכנתים בנו אתרים מאובטחים, שמו חומות אש וסיסמאות, אבל בתוך "המנוע" הבסיסי שמריץ את הקוד היה סדק עמוק שאפשר לעקוף את כל ההגנות.
ה-AI ראה את מה שבני אדם פספסו עשר שנים
החלק המסקרן והמטריד ביותר בפרשה נוגע לאופן שבו הפרצה נחשפה. קוד המקור של PHP פתוח ושקוף לחלוטין לציבור, ונבדק לאורך השנים על ידי עשרות אלפי מהנדסי תוכנה, חוקרי אבטחה והאקרים. אף אחד מהם לא הבחין בסדק.
מי שחשף את הפגם היו כלי ניתוח קוד מבוססי בינה מלאכותית מתקדמת מבית OpenAI, שהופעלו על ידי החוקרים של Wiz ו-Calif. המודלים מסוגלים לסרוק כמויות עצומות של שורות קוד, להצליב תלויות ולזהות דפוסים מתמטיים של כשלים במהירות ששום מוח אנושי אינו מסוגל להתחרות בה.
אולם, הגילוי הפך במהרה למרוץ נגד השעון: פרטי הפגיעות דלפו לרשת עוד בטרם הספיקה קרן PHP להפיץ את התיקון, מה שאילץ אותה לפרסם עדכון חירום בהול ביום רביעי.
During this red-teaming exercise, we also found a vulnerability that allows for unauthenticated remote code execution in Brotli, a widely-deployed compression library included in many pieces of software such as Node.js, Bun, and Envoy. The flaw could let an attacker run their own code on affected systems by sending or replying with malicious compressed data, without any need to create a user account. That is, an unpatched server that accepts compressed input could be taken over by a malicious client, and an unpatched client that accepts compressed input (such as “curl --compressed”) could be taken over by a malicious server. This root cause issue was actually fixed in the Brotli source code in February, but it wasn’t known at the time that it gave rise to a security vulnerability and there was no more recent release of Brotli. Since Brotli is built into other software, any software which includes this library needs to take the update too, followed by the users of that software. We disclosed the vulnerability to Brotli and other downstream projects such as Node.js, which released or are currently releasing security updates, and Brotli cut new release versions and published a CVE. More details on the patch and mitigations below: https://t.co/Y1Y72aHxrW
— OpenAI (@OpenAI) October 23, 2026
בפוסט רשמי שפרסמה OpenAI, היא הדגישה את החרב הפיפיות של הטכנולוגיה. מצד אחד, AI יכול לחשוף כשלי אבטחה היסטוריים שהאנושות פספסה; מצד שני, אותם כלים מאפשרים כעת להאקרים לפתח כלי תקיפה ופצחנים (Exploits) מתוחכמים בתוך דקות ספורות.
מפת הפאניקה העולמית
החשיפה הובילה לגל השבתות יזום חסר תקדים ברחבי העולם, כאשר ארגונים העדיפו "לשלוף את השאלטר" באופן זמני עד להתקנת טלאי האבטחה.
יפן - השבתת התראות חירום: חברת התקשורת הענקית SoftBank הודיעה על השבתה חריגה של מערך התראות החירום הלאומי לרעידות אדמה, גלי צונאמי ואסונות טבע במכשירי הסלולר של לקוחותיה, מחשש לפגיעה בשרתיה. ראש ממשלת יפן, סנאה טקאיצ'י, פרסמה פנייה דחופה ברשת X שבה הפצירה בכל מנהלי האתרים במדינה "לפעול עוד הלילה".
皆様に、今夜に対応して頂きたい大至急のお願いです。 多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。 公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。 修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。 国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
— 高市早苗 (@takaichi_sanae) October 21, 2026
בריטניה: הממשלה הבריטית השביתה באופן יזום 32 אתרים ופורטלים ממשלתיים. עיריית אדינבורו ועמודי שירות מסוימים של רשת ה-BBC נלקחו אף הם למצב לא-מקוון.
ממשלות אירופה: ממשלת פינלנד, אוניברסיטת ז'נבה, סוכנות הסייבר הלאומית של הולנד (NCSC) וחברת הטלקום הצרפתית Orange השביתו חלק ממערכותיהן.
ויקיפדיה: קרן ויקימדיה, המפעילה את האנציקלופדיה החופשית שנשענת בכבדות על PHP, השביתה שורה של מערכות פנימיות כאמצעי זהירות.
סוכנויות הביון נכנסות לתמונה: ה-NSA האמריקני, יחד עם מערכי הסייבר של האיחוד האירופי, סינגפור ואוסטרליה, הוציאו הוראה חד-משמעית לכלל הגופים הממשלתיים: "התקינו את התיקון מיד - ואם אינכם יכולים, נתקו את המערכות מהאינטרנט לאלתר".
מיליוני ניסיונות תקיפה בתוך דקות
מתיו פרינס, מנכ"ל ענקית התשתיות Cloudflare, חשף ב-X נתונים מבהילים על מהירות התגובה של התוקפים ברשת: ב-10 השעות שקדמו לפרסום הרשמי, זוהו אלפי ניסיונות תקיפה שנועדו לבדוק את הפרצה. בתוך 45 דקות מרגע החשיפה הפומבית, המספר זינק לעשרות אלפים, בתוך שעתיים למאות אלפים - וכעת הוא עומד על מיליוני ניסיונות פריצה הנסרקים ברחבי העולם בכל רגע. גם ענקית המסחר אמזון אישרה כי זוהתה פעילות תקיפה נגדה עוד בטרם ההודעה הרשמית, אך שירותיה המשיכו לפעול כסדרם.
This one maybe as bad or worse than the PHP ones. Get used to lots of patching.
— Matthew Prince 🌥 (@eastdakota) October 24, 2026
מומחי אבטחה מזהירים כי הסכנה אינה מוגבלת רק לאתרי אינטרנט רגילים: שפת PHP מוטמעת גם בממשקי הניהול של נתבים, מאזני עומסים ורכיבי חומרה ייעודיים, שלרוב אינם זוכים לעדכוני אבטחה שוטפים.
מה זה אומר עליכם, ומה בעלי אתרים חייבים לעשות?
עבור הגולש הפשוט, הפרצה מתרחשת עמוק בתוך צנרת השרתים ואינה דורשת פעולה ישירה בסמארטפון או במחשב האישי - למעט ערנות מוגברת להודעות דיוג שעלולות לנצל את הבהלה, או דרישות לשינוי סיסמה מאתרים שבהם אתם רשומים. אולם עבור בעלי אתרים, עסקים קטנים ומפתחים - מדובר בשעת חירום.
1. עדכון וורדפרס אינו מספיק: חשוב להבין, שדרוג תוספי וורדפרס או גרסת האתר עצמה אינו פותר את הבעיה. הפרצה נמצאת בסביבת הריצה של ה-PHP על גבי השרת המארח.
2. פנייה מיידית לחברת האחסון: אם האתר שלכם יושב על שרת אחסון שיתופי או מנוהל, פנו מיד לתמיכה וודאו שהשרת עודכן לגרסאות ה-PHP המאובטחות שהופצו ביום רביעי על ידי קרן PHP.
3. ניהול שרת עצמאי? עדכנו עכשיו: אם אתם מנהלים שרת ייעודי או מכונה וירטואלית בענן, התקינו את חבילות העדכון הרשמיות של הפצת הלינוקס שלכם באופן מיידי. אם אינכם יכולים להטמיע את התיקון בשעות הקרובות, שקלו להוריד את המערכת מהרשת באופן זמני, כפי שהמליצו ב-NSA.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו