שני ה-advisory-ים של PHP שיצאו ב-21 באוקטובר נושאים את אותו ציון בדיוק: 9.2 לכל אחת משתי החולשות. ב-NVD הן נראות אחרת. CVE-2026-109618 קיבלה 9.8, CVE-2026-109619 קיבלה 8.1, ובשתי הרשומות כל שאר המטריקות זהות.

סקירה כללית

שתי החולשות יושבות ב-PHP עצמה ולא בקוד של אתר מסוים, ושתיהן מאפשרות הרצת קוד מרחוק (Remote Code Execution, הרצת פקודות על השרת) בלי אימות ובהרשאות של חשבון ה-worker של שרת הווב. את המנגנון שלהן ואת שחרור החירום שסגר אותן סיקרנו ב-21 באוקטובר, ומה שהתחדש מאז הוא הציונים: ב-26 באוקטובר סיימה NVD לנתח את שתי הרשומות, ובאותו יום נכנסו שתיהן לקטלוג ה-KEV.

צוות האבטחה של PHP דירג את שתיהן 9.2 לפי CVSS v4.0, וסימן בשתיהן מורכבות תקיפה גבוהה ותנאים מוקדמים שצריכים להתקיים. NVD, שמנתחת לפי v3.1, פיצלה אותן, ובזו שקיבלה 9.8 היא סימנה את מורכבות התקיפה כנמוכה. כלומר מי שכתב את ה-exploit המאומת העריך אותו כקשה יותר ממי שניתח אותו מהצד.

מזהה: CVE-2026-109618 ו-CVE-2026-109619
סוג: שימוש בזיכרון אחרי שחרורו (CWE-416) וטיפול שגוי במצבי חריגה (CWE-755)
מוצר: PHP
גרסאות מושפעות: CVE-2026-109618 מגרסה 7.3.0, CVE-2026-109619 מגרסה 5.4.0, ובשתיהן עד 8.2.35, 8.3.36, 8.4.27 ו-8.5.12
גרסה מתוקנת: 8.2.35, 8.3.36, 8.4.27, 8.5.12
ניצול בפועל: כן, שתיהן נכנסו לקטלוג ה-KEV של CISA ב-26 באוקטובר 2026

ציר זמן

24 באוגוסט 2026: לפי Wiz, החברה מדווחת על החולשה הראשונה לצוות האבטחה של PHP.
21 באוקטובר 2026: יוצאות הגרסאות 8.2.35, 8.3.36, 8.4.27 ו-8.5.12, ושני מזהי ה-CVE מתפרסמים ב-NVD.
26 באוקטובר 2026: NVD מפרסמת ציון סופי לכל אחת מהשתיים, ו-CISA מכניסה אותן לקטלוג ה-KEV עם מועד תיקון לגופים הפדרליים ב-29 באוקטובר.

איך הניצול עובד

ההבדל בין השתיים הוא כמה דברים צריכים ליפול במקום הנכון. ב-CVE-2026-109618 מספיקה בקשה אחת שמרוקנת את תקרת הזיכרון של PHP, ואז פרוצדורת סגירת הבקשה מסתעפת לפי זיכרון שנשאר לא מאותחל. במקרה שאומת מול mod_php זה קורה עוד לפני שרצה שורה אחת מקוד האתר. ב-CVE-2026-109619 צריך שתי בקשות: אחת שמשאירה אחריה מצב גלובלי שמצביע אל זיכרון ששוחרר, ואחרת שקוראת ממנו לפני שאותחל מחדש. ה-advisory מנסח את זה כדרישה ל-producer ול-consumer, ומוסיף ששתיהן חייבות להגיע לאותו worker.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

זה הציון של CVE-2026-109618 אצל NVD, וההפרש של 1.7 נקודות מול האחרת נובע כולו ממטריקה אחת, מורכבות התקיפה. מה שהציון מודד כאן, בפועל, הוא הבקשה השנייה שצריכה ליפול על אותו worker.

איפה למצוא Proof of Concept (PoC)

הניתוח הטכני המלא ביותר שפורסם הוא הכתבה של Wiz Research מ-21 באוקטובר, שמתארת את הבאגים ואת שרשרת הניצול בקווים כלליים ובלי קוד, ומפרטת סימנים לאיתור ניסיונות: בקשות multipart חריגות שאחריהן שגיאות של מגבלת זיכרון, רצף תגובות 500, ו-cookie של PHPSESSID בגודל חריג. מעבר לה מסתובבים ב-GitHub כמה מאגרים עם exploit עובד לשתי החולשות, ומכיוון שהן מנוצלות בשטח מול שרתים חשופים לאינטרנט, לא נפנה אליהם כאן.

בין 8.1 ל-9.8 יש מרחק שנשמע גדול. שתיהן נכנסו ל-KEV באותו יום, ואת הגרסה שסוגרת אותן מתקינים בפעולה אחת.