PHP היא שפת התכנות שמריצה חלק גדול מאתרי האינטרנט, ובכללם אתרי וורדפרס. חולשה שהתפרסמה ב-21 באוקטובר 2026 מאפשרת, בתנאים מסוימים, להריץ קוד על השרת דרך שאריות שנותרות בזיכרון מבקשה קודמת. הציון שנקבע הוא 9.2, והתיקונים יצאו בגרסאות 8.2.35, 8.3.36, 8.4.27 ו-8.5.12.

מה החולשה?

שרת ווב מטפל בבקשה אחת אחרי השנייה, ואחרי כל בקשה הוא אמור לנקות אחריה: לשחרר את הזיכרון שבו השתמש ולאפס את המצב, כדי שהבקשה הבאה תתחיל מדף חלק.

לפי ההודעה של צוות PHP, הניקוי הזה אינו שלם. ל-PHP יש משתנים גלובליים שמצביעים באופן זמני אל הזיכרון של הבקשה הנוכחית. בחלק מהמצבים הם אינם מאופסים כראוי, או שהם מתמלאים מחדש אחרי שכבר אופסו.

התוצאה היא מצביע שממשיך להצביע אל זיכרון ששוחרר. הבקשה הבאה קוראת ממנו, או מקבלת על בסיסו החלטה, עוד לפני שהוא אותחל מחדש. זהו use after free, כלומר שימוש בזיכרון אחרי שהוא כבר שוחרר, ותוקף שמצליח לשלוט במה שיושב באותו אזור ברגע הנכון יכול להפוך אותו להרצת קוד.

ההודעה מציינת שכמה דרכים שונות מביאות למצב הזה. זה פרט חשוב, כי הוא אומר שאין כאן מסלול יחיד שנסגר אלא דפוס שחוזר בכמה מקומות.

מי מושפע?

כל ענפי PHP הנתמכים. התיקונים יצאו בגרסאות 8.2.35, 8.3.36, 8.4.27 ו-8.5.12, וכל גרסה שקודמת להן בענף שלה חשופה.

בפועל זה אומר כמעט כל אתר שמריץ PHP: אתרי תוכן, חנויות, מערכות ניהול פנימיות. בישראל זה חותך את כל הסקאלה, מאתר של עסק קטן שיושב על אחסון משותף ועד מערכות גדולות עם שרתים משלהן.

מצד שני, שווה לקרוא את וקטור ה-CVSS עד הסוף. הוא מציין מורכבות תקיפה גבוהה ותנאים נוספים שצריכים להתקיים כדי שהניצול יעבוד. זו אינה חולשה שמנצלים בשורה אחת מול כל שרת, וזה ההבדל בינה לבין חולשה שסורקים בעזרתה את כל האינטרנט תוך יממה.

האם מנוצלת בפועל?

לא למיטב הידוע. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שיש עליהן ראיות לניצול בשטח, וזה המצב נכון לעדכון האחרון של העמוד הזה.

אין בכך הבטחה. החולשה פורסמה רק ב-21 באוקטובר 2026, והמרחק בין פרסום של חולשה בתשתית כה נפוצה לבין ניסיונות ניצול הוא לרוב קצר.

יש גם נסיבות שמקצרות אותו כאן. לצד הפרסום הרשמי הופיע ניתוח טכני פומבי של הדרך מהחולשה אל הרצת קוד, והפרטים נדונו גם ברשימת התפוצה של oss-security. ככל שהדרך מתוארת בפומבי בפירוט רב יותר, כך מצטמצם הזמן עד שמישהו הולך בה.

מה עושים?

עדכנו את PHP לגרסה המתוקנת בענף שלכם: 8.2.35, 8.3.36, 8.4.27 או 8.5.12. בדקו קודם איזו גרסה רצה אצלכם, למשל בפקודה php -v על השרת, או בדף פרטי המערכת של מערכת הניהול שלכם.

אם האתר יושב על אחסון משותף או על שירות מנוהל, העדכון אינו בידיכם. פנו לספק האחסון ושאלו באיזו גרסה אתם נמצאים ומתי הוא מעדכן. זו שאלה לגיטימית לחלוטין, וספק רציני יידע לענות עליה.

אם אתם מריצים שרת משלכם, עדכנו דרך מנהל החבילות של ההפצה ולא על ידי החלפת הגרסה ביד. ההפצות מוציאות את התיקון לענף שבו הן תומכות, ולעיתים מספר הגרסה אצלן נראה ישן יותר אף שהתיקון כבר בפנים.

ההודעה של צוות PHP היא המקור הרשמי, ושם יתפרסמו גם עדכונים נוספים בנושא.