ב-17 באוקטובר, בשבת, הגיעה לשרת פיתיון של אמזון בקשה אחת חשודה. שרת פיתיון, honeypot בלשון המקצוע, הוא מכונה שמוצבת באינטרנט בלי שום תפקיד אמיתי מלבד לתעד מי מנסה לתקוף אותה, והבקשה שהגיעה אליה כיוונה בדיוק לשתי החולשות ב-PHP שהתיקון להן פורסם רק ארבעה ימים אחר כך. את שחרור החירום עצמו סיקרנו כאן ב-21 באוקטובר. מה שהתברר מאז הוא שהמרוץ התחיל עוד לפני קו הזינוק.

מה קרה

צוות המודיעין של אמזון פרסם שהניסיונות הראשונים לנצל את החולשות, CVE-2026-109619 ו-CVE-2026-109618 בציון 9.2, נרשמו כבר ב-17 בחודש, בזמן שהפרטים עליהן היו חסויים ומוגבלים לכמה ספקי תשתיות קריטיות. סי ג'יי מוזס, מנהל אבטחת המידע של AWS, כתב שהבקשה הגיעה מכתובת IP של שירות אנונימיזציה מסחרי, ושלא ברור איך מי שעמד מאחוריה השיג את המידע מראש. אחרי החשיפה הוא כבר מדבר על ניצול נרחב בפועל, ועל מטענים שונים שמצביעים על כמה תוקפים נפרדים ולא על אחד. גם Cloudflare, watchTowr ו-Patchstack דיווחו על ניסיונות שנכשלו לפני הפרסום. ההמלצה שמוזס גזר מזה פשוטה: אל תניחו שתאריך הפרסום הוא התאריך שבו ההתקפות התחילו.

התגובה של הרשויות הייתה חריגה בעיקר בכך שהיא כללה כיבוי אתרים. בצרפת נותקו אתרים של נציגויות ממשל אזוריות, ביניהם האתר של מפקד משטרת פריז, לפי בקשה של סוכנות הסייבר הצרפתית ANSSI. בהולנד הושבתו כמה אתרי ממשלה, ומרכז הסייבר הלאומי הוריד זמנית גם את האתר של עצמו. אתר הממשלה הצ'כי ירד, וכך גם האתר הראשי של גרנזי יחד עם פורטל רשות המיסים שלה. בפלורידה החברה שמפעילה את שירותי המידע לבוחרים השביתה אותם באמצע ההצבעה המוקדמת, פחות משבועיים לפני בחירות האמצע, ותושבי מחוז סרסוטה שרצו לראות פתק הצבעה לדוגמה או למצוא קלפי הופנו למספר טלפון. אף אחת מההשבתות האלה לא מעידה בעצמה שמשהו נפרץ.

למה זה חשוב לכם

PHP היא שפת התכנות שמריצה חלק גדול מאתרי האינטרנט בעולם, כולל כמעט כל אתר וורדפרס, ולפי VirusTotal חשופים כרגע לרשת יותר מ-5.1 מיליון שרתי PHP, כ-3.8 מיליון מהם עם לפחות פורט אחד פתוח. תוקף שמנצל את החולשות האלה מגיע להרצת קוד על השרת עצמו, בלי סיסמה ובלי להתחבר, וזה אומר גישה לכל מה שיושב שם: מסד הנתונים של הלקוחות, הקבצים, ופרטי האימות של שירותים אחרים שהאתר מתחבר אליהם. אם אתם מחזיקים אתר, גם קטן, הסיפור הזה שלכם. ואם אתר שאתם צריכים לא זמין בימים האלה, סביר שמדובר בהשבתה מכוונת ולא בתקלה.

מה עושים?

מי שמחזיק אתר שמריץ PHP, לרבות אתר וורדפרס אצל חברת אחסון ישראלית, צריך לבדוק באיזו גרסה הוא נמצא ולעדכן ל-8.5.12, 8.4.27, 8.3.36 או 8.2.35. באחסון מנוהל זו שאלה אחת לתמיכה.

אם אין דרך לעדכן עכשיו, ההמלצה של ה-NSA היא לנתק את השרת מהאינטרנט עד שיהיה אפשר לתקן. זה נשמע דרסטי, וזה בדיוק מה שעשו הממשלות שלמעלה.

עדכנתם? זו לא סוף העבודה. מאחר שהניצול התחיל לפני התיקון, כדאי להחליף סיסמאות ניהול ומפתחות גישה של השרת, ולעבור על הלוגים בחיפוש בקשות חריגות מהשבוע שעבר.

ואם פורטל ממשלתי או שירות מקוון שאתם צריכים ירד, חפשו את הדרך החלופית אליו במקור רשמי. תוצאות חיפוש ממומנות בזמן השבתה הן הזדמנות מצוינת לאתרים מתחזים.

התיקון יצא ב-21 באוקטובר. הבקשה הראשונה שחיפשה את החולשה יצאה ב-17.