כוננות סייבר עולמית: עולם הסייבר חווה בסוף השבוע את אחד מרגעי המשבר החמורים ביותר של השנים האחרונות. שרשרת של פגיעויות אבטחה קריטיות נחשפה ב-PHP - שפת הפיתוח המרכזית שמאחורי הקלעים של כ-70% מאתרי האינטרנט ברחבי העולם. הפרצה, שכונתה על ידי החוקרים "php2shell", הסתתרה בקוד המקור במשך יותר מעשור מבלי שאיש הבחין בה, עד שכלי AI מתקדמים של OpenAI סרקו את המערכת והציפו אותה אל פני השטח.
הגילוי הצית גל פאניקה בינלאומי. סוכנויות ביון מערביות הוציאו התראות חירום חסרות תקדים, ממשלות הורידו אתרים רשמיים מהרשת, ענקיות תשתית זיהו מיליוני ניסיונות תקיפה בתוך שעות, וביפן אף הושבתו זמנית התראות החירום לרעידות אדמה וצונאמי.
מה זה PHP ולמה היא מניעה את העולם?
רוב המשתמשים ברשת מעולם לא שמעו את המושג PHP (ראשי תיבות של Hypertext Preprocessor), אך כל אדם שגולש באינטרנט עושה בה שימוש על בסיס יומיומי. מדובר בשפת תכנות צד-שרת בקוד פתוח, שפותחה עוד בראשית שנות ה-90.
כאשר גולשים לאתר חדשות, לחנות מקוונת או לאנציקלופדיית ויקיפדיה, PHP היא המנוע שפועל בשרת המרוחק. היא אוספת את המידע ממסד הנתונים, מעבדת אותו ומייצרת בזמן אמת את דף האינטרנט הדינמי שמוצג על המסך שלכם.
השפה הזו מהווה את עמוד השדרה של מערכות ניהול התוכן הפופולריות ביותר בעולם, ובראשן וורדפרס, שמפעילה לבדה קרוב למחצית מאתרי הרשת, לצד פלטפורמות כמו דרופל ופריימוורקים מרכזיים דוגמת Laravel ו-Symfony.
לפי נתוני חברת אבטחת הענן הישראלית Wiz, שלקחה חלק פעיל בחשיפת הפרצה, PHP מותקנת בבסיסם של כ-70% מכלל אתרי האינטרנט בעולם.
פצצת זמן בת עשור
קבוצת חוקרי אבטחה מחברות הסייבר Wiz ו-Calif חשפה שתי פגיעויות מובנות בליבת השפה עצמה (שקיבלו את המזהים CVE-2026-109618 ו-CVE-2026-109619), אשר השפיעו על כל גרסאות PHP ששוחררו בעשור האחרון. חומרת הפגיעות דורגה בציון חריג של 9.2 מתוך 10. ראיין אוסטין, חוקר בחברת Calif, הגדיר אותה בריאיון ל-BBC כ"פגיעות החמורה ביותר שגיליתי בכל שנותיי".
לפי הדוח של Wiz, תחת תנאים מסוימים, תוקפים מסוגלים לנצל את הפרצה כדי להשיג שליטה מלאה מרחוק על שרתי האינטרנט הפגיעים, להריץ בהם פקודות זדוניות, להשתלט על מערכת ההפעלה של השרת ולגנוב נתונים רגישים ומסדי נתונים שלמים. מומחי אבטחה הגדירו את הפגיעות כ"שווה ערך לנפל פצצה שהוטמן ביסודות האינטרנט ועמד להתפוצץ".
מה באמת קרה כאן?
תחשבו על בניין משרדים ענק ומאובטח שבו יושבים אלפי עסקים, בנקים ומשרדי ממשלה. לכל משרד יש דלת פלדלת עם קוד סודי. פתאום, התברר שבמשך עשר שנים, בכל מערכת צינורות האוורור של הבניין יש פתח סודי שדרכו כל אדם יכול לזחול ישירות אל מאחורי הדלפק של כל משרד - מבלי להקיש שום קוד ומבלי להפעיל אזעקה.
זה בדיוק מה שקרה ב-PHP. המתכנתים בנו אתרים מאובטחים, שמו חומות אש וסיסמאות, אבל בתוך "המנוע" הבסיסי שמריץ את הקוד היה סדק עמוק שאפשר לעקוף את כל ההגנות.
ה-AI ראה את מה שבני אדם פספסו עשר שנים
החלק המסקרן והמטריד ביותר בפרשה נוגע לאופן שבו הפרצה נחשפה. קוד המקור של PHP פתוח ושקוף לחלוטין לציבור, ונבדק לאורך השנים על ידי עשרות אלפי מהנדסי תוכנה, חוקרי אבטחה והאקרים. אף אחד מהם לא הבחין בסדק.
מי שחשף את הפגם היו כלי ניתוח קוד מבוססי בינה מלאכותית מתקדמת מבית OpenAI, שהופעלו על ידי החוקרים של Wiz ו-Calif. המודלים מסוגלים לסרוק כמויות עצומות של שורות קוד, להצליב תלויות ולזהות דפוסים מתמטיים של כשלים במהירות ששום מוח אנושי אינו מסוגל להתחרות בה.
אולם, הגילוי הפך במהרה למרוץ נגד השעון: פרטי הפגיעות דלפו לרשת עוד בטרם הספיקה קרן PHP להפיץ את התיקון, מה שאילץ אותה לפרסם עדכון חירום בהול ביום רביעי.
בפוסט רשמי שפרסמה OpenAI, היא הדגישה את החרב הפיפיות של הטכנולוגיה. מצד אחד, AI יכול לחשוף כשלי אבטחה היסטוריים שהאנושות פספסה; מצד שני, אותם כלים מאפשרים כעת להאקרים לפתח כלי תקיפה ופצחנים (Exploits) מתוחכמים בתוך דקות ספורות.
מפת הפאניקה העולמית
החשיפה הובילה לגל השבתות יזום חסר תקדים ברחבי העולם, כאשר ארגונים העדיפו "לשלוף את השאלטר" באופן זמני עד להתקנת טלאי האבטחה.
יפן - השבתת התראות חירום: חברת התקשורת הענקית SoftBank הודיעה על השבתה חריגה של מערך התראות החירום הלאומי לרעידות אדמה, גלי צונאמי ואסונות טבע במכשירי הסלולר של לקוחותיה, מחשש לפגיעה בשרתיה. ראש ממשלת יפן, סנאה טקאיצ'י, פרסמה פנייה דחופה ברשת X שבה הפצירה בכל מנהלי האתרים במדינה "לפעול עוד הלילה".
בריטניה: הממשלה הבריטית השביתה באופן יזום 32 אתרים ופורטלים ממשלתיים. עיריית אדינבורו ועמודי שירות מסוימים של רשת ה-BBC נלקחו אף הם למצב לא-מקוון.
ממשלות אירופה: ממשלת פינלנד, אוניברסיטת ז'נבה, סוכנות הסייבר הלאומית של הולנד (NCSC) וחברת הטלקום הצרפתית Orange השביתו חלק ממערכותיהן.
ויקיפדיה: קרן ויקימדיה, המפעילה את האנציקלופדיה החופשית שנשענת בכבדות על PHP, השביתה שורה של מערכות פנימיות כאמצעי זהירות.
סוכנויות הביון נכנסות לתמונה: ה-NSA האמריקני, יחד עם מערכי הסייבר של האיחוד האירופי, סינגפור ואוסטרליה, הוציאו הוראה חד-משמעית לכלל הגופים הממשלתיים: "התקינו את התיקון מיד - ואם אינכם יכולים, נתקו את המערכות מהאינטרנט לאלתר".
מיליוני ניסיונות תקיפה בתוך דקות
מתיו פרינס, מנכ"ל ענקית התשתיות Cloudflare, חשף ב-X נתונים מבהילים על מהירות התגובה של התוקפים ברשת: ב-10 השעות שקדמו לפרסום הרשמי, זוהו אלפי ניסיונות תקיפה שנועדו לבדוק את הפרצה. בתוך 45 דקות מרגע החשיפה הפומבית, המספר זינק לעשרות אלפים, בתוך שעתיים למאות אלפים - וכעת הוא עומד על מיליוני ניסיונות פריצה הנסרקים ברחבי העולם בכל רגע. גם ענקית המסחר אמזון אישרה כי זוהתה פעילות תקיפה נגדה עוד בטרם ההודעה הרשמית, אך שירותיה המשיכו לפעול כסדרם.
מומחי אבטחה מזהירים כי הסכנה אינה מוגבלת רק לאתרי אינטרנט רגילים: שפת PHP מוטמעת גם בממשקי הניהול של נתבים, מאזני עומסים ורכיבי חומרה ייעודיים, שלרוב אינם זוכים לעדכוני אבטחה שוטפים.
מה זה אומר עליכם, ומה בעלי אתרים חייבים לעשות?
עבור הגולש הפשוט, הפרצה מתרחשת עמוק בתוך צנרת השרתים ואינה דורשת פעולה ישירה בסמארטפון או במחשב האישי - למעט ערנות מוגברת להודעות דיוג שעלולות לנצל את הבהלה, או דרישות לשינוי סיסמה מאתרים שבהם אתם רשומים. אולם עבור בעלי אתרים, עסקים קטנים ומפתחים - מדובר בשעת חירום.
1. עדכון וורדפרס אינו מספיק: חשוב להבין, שדרוג תוספי וורדפרס או גרסת האתר עצמה אינו פותר את הבעיה. הפרצה נמצאת בסביבת הריצה של ה-PHP על גבי השרת המארח.
2. פנייה מיידית לחברת האחסון: אם האתר שלכם יושב על שרת אחסון שיתופי או מנוהל, פנו מיד לתמיכה וודאו שהשרת עודכן לגרסאות ה-PHP המאובטחות שהופצו ביום רביעי על ידי קרן PHP.
3. ניהול שרת עצמאי? עדכנו עכשיו: אם אתם מנהלים שרת ייעודי או מכונה וירטואלית בענן, התקינו את חבילות העדכון הרשמיות של הפצת הלינוקס שלכם באופן מיידי. אם אינכם יכולים להטמיע את התיקון בשעות הקרובות, שקלו להוריד את המערכת מהרשת באופן זמני, כפי שהמליצו ב-NSA.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו