אתרי ממשלה באיחוד האירופי ובקנדה הורדו מהאוויר לאחר חשיפת פגיעות PHP

אתרי ממשלה יורדים מהאוויר

אתרי ממשלה בהולנד, דנמרק, צרפת ופינלנד הורדו מהאוויר כצעד מניעתי לאחר שקרן PHP הודיעה על פרסום עדכון אבטחה שמטפל בשתי פגיעויות קריטיות. רויטרס דיווחה שארבע הממשלות הורידו לפחות חלק מהאתרים כצעד מניעתי.

בקנדה, שר הבינה המלאכותית והחדשנות הדיגיטלית אוון סולומון פרסם פוסט ב-X על ההחלטה להוריד זמנית את אתרי הממשלה. סולומון גם הצטרף לקריאה לכל מפעילי האתרים שמשתמשים ב-PHP להחיל את העדכון בהקדם האפשרי.

היקף הפגיעות

PHP היא שפת תכנות שמשמשת שירותי פרסום אתרים מרכזיים, ובהם WordPress ו-Drupal. הפגיעויות היו קיימות שנים ונחשפו רק לאחרונה באמצעות כלי בינה מלאכותית שבהן משתמשות חברות אבטחת סייבר. שתי הפגיעויות רשומות כ-CVE-2026-109618 ו-CVE-2026-109619 והן משפיעות על כל התקנות PHP שמשרתות בקשות אינטרנט, כולל PHP 5 שיצא ביולי 2004. רק PHP 8.2 וגרסאות חדשות יותר מקבלות תיקונים.

לדברי טיפאני פאריס, המנכ"לית הזמנית של איגוד Drupal, כל השרתים שמפעילים גרסה כלשהי של PHP שיצאה ב-20 השנים האחרונות פגיעים. פאריס אמרה שהבעיה משפיעה על רוב האינטרנט.

הפגמים עשויים לאפשר להאקר לחדור למערכת שמריצה PHP ולהשתלט עליה באופן פוטנציאלי. קרן PHP מסרה שאין דרכי הקלה מלאות ושעדכון הוא האפשרות הבטוחה היחידה.

תגובות רשמיות

התגובה המרכזית של ממשלת ארצות הברית הייתה הודעה של CISA שקראה לארגונים לעדכן לתיקון החדש של קרן PHP. בהצהרה לרויטרס מסר הבית הלבן שנודע לו על הבעיה ביום שישי.

כיסוי קודם: תיקוני PHP2Shell יצאו: מה בסיכון וכיצד להגן על אתרי PHP

מקורות: Engadget · Wired