צוות PHP פרסם עדכוני אבטחה דחופים לשלוש גרסאות נתמכות: PHP 8.2.35, PHP 8.3.36 ו־PHP 8.4.27. לפי ההודעה הרשמית מ־21 באוקטובר 2026, העדכונים מתקנים שתי חולשות קריטיות — CVE‑2026‑109618 ו־CVE‑2026‑109619 — שעלולות לאפשר הרצת קוד מרחוק ללא אימות.
שתי החולשות קיבלו ציון CVSS v4.0 של 9.2. צוות PHP מדגיש שאין הקלה מלאה שמחליפה עדכון, ולכן מנהלי מערכות צריכים לאתר את גרסאות PHP הפעילות, לבדוק תאימות בסביבת בדיקות ולפרוס את גרסאות התיקון במהירות האפשרית.
אילו גרסאות כוללות את התיקון?
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
PHP 8.2 נמצאת בתקופת תמיכת אבטחה בלבד וצפויה להגיע לסוף חיים ב־31 בדצמבר 2026. לכן מי שמעדכן כעת את ענף 8.2 צריך במקביל להכין מעבר לענף נתמך חדש יותר, במקום לראות בעדכון הנקודתי פתרון ארוך טווח.
מה כדאי לעשות עכשיו?
- למפות את הנכסים: אתרי אינטרנט, שרתי יישומים, קונטיינרים, מכונות וירטואליות ושירותי אירוח שמשתמשים ב־PHP.
- לזהות את הגרסה בפועל: לא להסתפק בגרסת לוח הבקרה. בדקו את גרסת ה־runtime שמשרתת את היישום ואת גרסאות ה־CLI, ה־FPM והקונטיינרים.
- לגבות ולבדוק: בצעו גיבוי תקין ובדיקת שחזור, ואז הפעילו את גרסת התיקון בסביבת staging עם בדיקות התחברות, טפסים, תשלומים ותוספים קריטיים.
- לעדכן דרך הערוץ הרשמי: השתמשו במאגרי ההפצה, בספק האירוח או בתמונת הקונטיינר הרשמית. אמתו שהעדכון הסתיים ושגרסת הריצה אכן השתנתה.
- לנטר לאחר הפריסה: חפשו שגיאות חדשות בלוגים, כשלים בבדיקות בריאות והתנהגות חריגה בשכבת ה־Web.
ומה אם אי אפשר לעדכן מיד?
CERT‑EU המליץ עוד לפני פרסום התיקונים לזהות יישומי PHP ולהיערך לפריסה מיידית. כאשר תיקון מיידי אינו אפשרי, הוא הציע לשקול בידוד של יישומים הפונים לאינטרנט עד שניתן לעדכן. זהו צעד זמני שדורש תכנון עסקי וטכני; הוא אינו תחליף לעדכון ואינו מבטיח חסימה של כל נתיב תקיפה.
צמצום חשיפה יכול לכלול הורדה זמנית של שירות שאינו חיוני, הגבלת גישה ברמת רשת או העברה מאחורי שכבת הגנה מנוהלת. יש לבצע צעדים כאלה בזהירות, עם אישור בעלי השירות ויכולת חזרה לאחור. אין להסתמך על כלל WAF כללי או על שינוי תצורה לא מאומת כפתרון מלא, במיוחד כאשר צוות PHP קובע שאין הקלה מלאה במקום עדכון.
מה עדיין צריך לבדוק בארגון?
הגרסה המותקנת היא רק חלק מהתמונה. צוותי IT צריכים לוודא שאין מופעי PHP ישנים מחוץ לניהול, תמונות קונטיינר שלא נבנו מחדש, שרתי פיתוח שפתוחים לאינטרנט או שירותים אצל ספקים שעדיין לא פרסו את התיקון. אם אתם מפעילים WordPress, Drupal או יישום PHP אחר, עדכון מערכת התוכן והתוספים אינו מחליף עדכון של מנוע PHP עצמו.
כדאי לתעד את רשימת הנכסים, הגרסה לפני ואחרי, מועד הפריסה ותוצאות הבדיקות. כך ניתן להוכיח שהטיפול הושלם ולזהות במהירות מערכת שנשמטה מהתהליך. מדריך נוסף לניהול סיכוני עדכונים זמין ב־ITPortal בנושא הקשחת שכבות אימות ושיפור תהליכי אבטחה.
מקורות
- ארכיון ההודעות הרשמי של PHP — גרסאות האבטחה מ־21 באוקטובר 2026
- CERT‑EU Security Advisory 2026‑018
- דיווח Reuters, 21 באוקטובר 2026
צילום: Christin Hume / Unsplash, ברישיון Unsplash. מקור התמונה; תנאי הרישיון.
