PHP פרסמה תיקוני חירום: מה צריך לאשר מול חברת האחסון

פרויקט PHP פרסם ב-21 באוקטובר עדכוני חירום לשתי פרצות קריטיות, שלדבריו עלולות לאפשר הרצת קוד מרחוק ללא אימות. מבחינת בעלי אתרים, השאלה המיידית היא אם סביבת PHP שמטפלת בבקשות לאתר כבר קיבלה את התיקונים.

הגרסאות המתוקנות שפרסם הפרויקט הן 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. עצם פרסומן אינו מעיד שחברת האחסון התקינה אותן. גם אתר וורדפרס באחסון מנוהל עשוי להיות תלוי בעדכון שרת שבעל האתר אינו יכול לבצע מלוח הבקרה.

התיקון נמצא ברמת האחסון

הודעות האבטחה של PHP מזהות את הפרצות כ-CVE-2026-109618 ו-CVE-2026-109619. הפרויקט קובע שהתקנות המטפלות בבקשות אינטרנט נמצאות בסיכון, ושעדכון הוא הפתרון המלא היחיד. בהודעה המקדימה קיבלה כל אחת מהפרצות ציון 9.2 לפי CVSS v4.0.

הבעיה נוגעת ל-PHP, ולא רק למערכת ניהול תוכן או לתוסף מסוימים. עדכון וורדפרס, תבנית או תוסף גיבוי אינו מוכיח כשלעצמו שסביבת ההרצה תוקנה. מנגד, האזהרה גם אינה קובעת שכל אתר חשוף כבר נפרץ.

כדאי לבקש מחברת האחסון לציין איזו מהדורת PHP מטפלת בבקשות לאתר, ולאשר שהיא כוללת תיקונים לשני המזהים. הודעה על תחזוקה מתוכננת אינה זהה לאישור שהשירות הפעיל כבר עודכן.

למספר הגרסה יש הקשר

מספרי הגרסאות של הפרויקט הם נקודת פתיחה שימושית. חלק מההפצות וספקי התמיכה ארוכת הטווח מחילים תיקוני אבטחה על חבילות ישנות בלי לאמץ את מספר הגרסה החדש של הפרויקט. במקרה כזה, בקשו הודעת ספק או רישום חבילה המאשרים את שני התיקונים.

PHP 8.1 וגרסאות קודמות אינן מקבלות עוד עדכוני אבטחה רגילים מהפרויקט. תיקוני קוד מקור חריגים לענפים ישנים אינם חידוש של התמיכה השוטפת. מי שעדיין משתמש בהם צריך לברר איזה תיקון זמין עבורו ולתכנן מעבר לגרסה נתמכת.

בוורדפרס אפשר למצוא את גרסת PHP המדווחת דרך כלים → בריאות האתר → מידע → שרת. זהו בסיס לשיחה עם חברת האחסון, במיוחד אם היא משתמשת בתיקונים שהוחלו לאחור על חבילות קודמות.

לאשר את התיקון ולבדוק שהאתר עובד

האישור צריך להתייחס לסביבת PHP שמשרתת בפועל את האתר, ולא רק להתקנה נפרדת בשורת הפקודה או לחבילה שהורדה לשרת. אחרי התחזוקה כדאי לבדוק עמודים מייצגים, התחברות ופרסום. המדריך לעדכונים ולאפשרות חזרה לאחור מסביר כיצד להכין את מסלול ההתאוששות.

PHP מזהירה שצעדי הקלה חלקיים אינם הופכים התקנה לבטוחה. לכן אין להציג כלל WAF או שינוי הגדרה כתחליף שווה ערך לתיקון. גם התקנת העדכון אינה מוכיחה שלא התרחשה חדירה קודם לכן. אם נמצאו סימנים חשודים, בירורם הוא משימה נפרדת.