שתי חולשות קריטיות בליבת PHP מחייבות מנהלי מערכות ומפתחי אתרים לבדוק מיד את גרסת סביבת הריצה. החולשות, CVE-2026-109618 ו־CVE-2026-109619, עלולות לאפשר הרצת קוד מרחוק ללא אימות וחשיפת זיכרון. Google Cloud עדכנה את הנחיותיה ב־23 באוקטובר 2026 והדגישה כי שירותי הענן של Google עצמם אינם פגיעים, אך יישומי PHP של לקוחות עלולים להיות חשופים.
אילו גרסאות פגיעות
לפי ההנחיה, הגרסאות הפגיעות הן PHP 5.4 ועד PHP 8.5.11. התיקונים זמינים ב־PHP 8.5.12, 8.4.27, 8.3.36 ו־8.2.35. גרסאות PHP 8.1 ומטה הגיעו לסוף תמיכה ולא יקבלו תיקון מהפרויקט, ולכן נדרש מעבר ל־PHP 8.2 ומעלה ולא רק עדכון נקודתי.
לכל אחת מהחולשות נקבע ציון CVSS של 9.2. הראשונה קשורה לטיפול במצב של מחסור בזיכרון בזמן שנתוני בקשה מאותחלים חלקית. השנייה נוגעת למצב פנימי של בקשה שנשאר לאחר שהזיכרון התומך בו כבר שוחרר, ועלול לשמש בקשה מאוחרת יותר לפני אתחול תקין.
מה צריך לעשות בפועל
- לזהות את כל שרתי PHP, תמונות הקונטיינר, פונקציות serverless ומערכות ניהול המשלבות PHP.
- לעדכן לגרסה מתוקנת: 8.5.12, 8.4.27, 8.3.36 או 8.2.35.
- לבנות מחדש תמונות קונטיינר ולפרוס מחדש שירותים, במקום להסתפק בעדכון חבילה על הדיסק.
- להפעיל מחדש את תהליך ההגשה בפועל — למשל PHP-FPM, Apache, HTTPD או FrankenPHP — כדי שלא יישאר בינארי פגיע בזיכרון.
- לבדוק לוגים, תעבורת HTTP והתראות EDR/WAF לאיתור ניסיונות ניצול או התנהגות חריגה.
הבדלים בין שירותי Google Cloud
ב־App Engine Standard עבור PHP 8.2 ומעלה, תמונות הבסיס הנתמכות מתעדכנות אוטומטית. ב־App Engine Flexible יש לפרוס מחדש את סביבת הריצה. ב־Cloud Run וב־Cloud Run functions, מי שהפעיל עדכוני base image אוטומטיים עשוי לקבל את התיקון אוטומטית; שירותים המבוססים על תמונה עצמית או ללא עדכון אוטומטי חייבים להיבנות ולהיפרס מחדש. ב־GKE יש לעדכן את תמונות הקונטיינר ולפרוס מחדש את ה־Pods.
WAF אינו תחליף לעדכון
Google Cloud פרסמה גם הפחתות סיכון באמצעות כללים מנוהלים של Cloud Armor. אלה עשויים לצמצם חשיפה באפליקציות אינטרנט, אך הם שכבת הגנה משלימה בלבד. שדרוג PHP לגרסה מתוקנת ופריסה מחדש הם הפעולות הנדרשות כדי לפתור את החולשות.
דגש למנהלי WordPress ומערכות ותיקות
מכיוון ש־PHP עומדת בבסיס מערכות ניהול תוכן ויישומים רבים, כדאי לבדוק לא רק את גרסת WordPress או התוסף אלא גם את גרסת PHP של השרת. אתר שמעודכן ברמת היישום עדיין עלול להיות חשוף אם סביבת הריצה עצמה נשארה בגרסה פגיעה או לא נתמכת.
מקור: Google Cloud Security, עודכן ב־23 באוקטובר 2026.
תמונת המחשה מקורית שנוצרה באמצעות AI עבור מערכת ITPortal. הנכס מתועד לשימוש באתר ובערוצי הסושיאל של ITPortal.
