Amazon Threat Intelligence חשפה כי ניסיון ניצול של חולשות PHP2Shell זוהה במערכת מלכודות הדבש MadPot כבר ב־17 באוקטובר 2026 — ארבעה ימים לפני החשיפה הציבורית של CVE-2026-109618 ו־CVE-2026-109619.
שתי החולשות נמצאות בליבת PHP, מדורגות 9.2 לפי CVSS v4.0 ומאפשרות לתוקף לא מזוהה להריץ קוד על שרת פגיע. תיקוני החירום פורסמו ב־21 באוקטובר בגרסאות PHP 8.5.12, 8.4.27, 8.3.36 ו־8.2.35.
מה זוהה לפני החשיפה
לפי AWS, הניסיון המוקדם הגיע מכתובת IP המשויכת לשירות אנונימיזציה מסחרי ופגע בחיישן MadPot. החברה אינה יודעת כיצד השיג התוקף מידע על החולשה בזמן שהפרטים עדיין היו תחת אמברגו, אך עצם הניסיון נגד מלכודת דבש מצביע על פעילות מכוונת ולא על סריקה מקרית.
ביום הפרסום עצמו זוהו הוכחות היתכנות כבר בסביבות 02:00 UTC, כ־12 שעות לפני מועד הסרת האמברגו ב־14:00 UTC. בין 02:00 ל־08:00 נצפו ניסיונות נוספים מתשתיות אנונימיות שונות ובמטענים שונים, סימן אפשרי לפעילות של יותר מגורם אחד. לאחר הפרסום והתיקון, הניסיונות התרחבו במהירות.
למה חלון התיקון התקצר
AWS מצביעה על שינוי מבני: בעבר תוקפים רבים המתינו לפרסום Proof of Concept. כיום כלי ניתוח וסיוע מבוססי AI מקלים להפוך הבדל בין גרסאות, תיקון או הודעת אבטחה לניצול עובד. לכן, הפער בין פרסום תיקון לבין שימוש בפועל עשוי להימדד בשעות ואף בדקות.
במקרה הזה, אפילו תאריך החשיפה הציבורית אינו נקודת ההתחלה הנכונה לחקירה. אם מערכת PHP הייתה חשופה לאינטרנט, יש לבדוק לוגים ופעילות החל מ־17 באוקטובר לפחות.
מה צריך לעשות עכשיו
- לעדכן PHP: תיקון הגרסה הוא ההגנה המלאה היחידה.
- למפות שרתי PHP חשופים: כולל PHP-FPM, mod_php, php-cgi וסביבות ריצה נוספות.
- לחקור לאחור: לבדוק תעבורה, יצירת קבצים, תהליכי Web חריגים וחיבורים יוצאים החל מ־17 באוקטובר.
- להפעיל הגנות זמניות: AWS WAF PHP managed rule group בגרסה 2.4 ומעלה כוללת כללים לשתי החולשות, אך אינה מחליפה עדכון.
- להעדיף זיהוי התנהגותי: ניטור שאינו תלוי רק בחתימה של CVE יכול לזהות ניצול עוד לפני שהחתימה זמינה.
ארגונים שעדיין עובדים עם SLA של שבעה או 30 ימים לחולשות קריטיות בשרתים חשופים צריכים לעדכן את המודל. במקרה של RCE בליבת Web נפוצה, יש למדוד את זמן התגובה בשעות ולשלב תיקון, ציד איומים והקשחת שכבת ה־WAF במקביל.
מקורות: Amazon Threat Intelligence — PHP2Shell exploitation prior to disclosure; הנחיות AWS WAF ל־PHP2Shell.
תמונה: Pew Nguyen / Pexels. רישיון Pexels מתיר שימוש חופשי באתר, בשיווק וברשתות חברתיות; הקרדיט נשמר לצורך שקיפות.
