שתי חולשות בלב התשתית של אתרי אינטרנט הפכו מחידת אבטחה מסובכת למצב חירום — והיכולת שהקלה על החוקרים זמינה גם לצד התוקף.
מה מצאו מתחת לאתר?
בינה מלאכותית עזרה למצוא דרך לפרוץ לתשתית ותיקה של האינטרנט. אלה החדשות הטובות. החדשות הפחות נוחות הן שאותה יכולת מקצרת גם לתוקפים את הדרך. שתי חולשות קריטיות ב-PHP, שזכו לכינוי PHP2Shell, נחשפו ב-21 באוקטובר לצד תיקוני אבטחה, אחרי מאמץ משותף של חוקרים ומתחזקי התוכנה. לפי דיווח TechCrunch, ה-NSA הזהיר כי שירותים שלא ניתן לתקן מיד צריכים לרדת מהרשת עד לעדכון. קשה לחשוב על המחשה מוחשית יותר למחיר העסקי של שורת קוד שנשארה מאחור: לפעמים הבחירה היא בין שירות מושבת לבין שירות שאי אפשר לסמוך על אבטחתו.
PHP היא שפת תכנות בצד השרת, מהסוג שהגולש לא רואה אבל האתר תלוי בו. היא משמשת בין היתר את WordPress, את Drupal ואת MediaWiki. לפי המחקר שפרסמה Wiz, לפחות אחת מהחולשות קיימת בגרסאות החל מ-PHP 5.4, וההשפעות האפשריות כוללות חשיפת מידע והרצת קוד מרחוק ללא הזדהות. מדובר במנוע שמתחת לאפליקציה: גם אתר שקוד היישום שלו נכתב בזהירות עלול להיות חשוף. הנתון שלפיו PHP מפעילה כ-70% מהאתרים מתייחס לאתרים ששפת השרת שלהם ידועה; הוא מעיד על תפוצה עצומה, אך אינו ספירה של אתרים שנפרצו או הוכחה שכולם ניתנים לניצול באותה דרך. התצורה ונתיב התקיפה עדיין משנים.
לפי Wiz, מודלים מתקדמים הפכו בנייה והתאמה של שרשראות ניצול מורכבות למעשיות בהרבה. OpenAI מסרה כי Calif זיהתה חולשה באמצעות GPT-5.6 Sol במסגרת יוזמת Patch the Planet, וכי Wiz גילתה ודיווחה באופן עצמאי על שתי החולשות. מתחזקי PHP הובילו את התיקון, בסיוע החוקרים וספקיות אבטחה ותשתית. לטענת OpenAI, ככל הידוע לה, החוקרים הקדימו את התוקפים ויצרו חלון זמן להכנת הגנות. זו הסתייגות חשובה: גילוי מוקדם אינו הוכחה שאיש בעולם לא הכיר את הבעיה. ובכל זאת, המשמעות ברורה — AI יכול להפוך חולשה שקשה לנצל למסלול תקיפה מעשי, ובאותה נשימה לתת למגינים הזדמנות לסגור אותו.
מי אחראי להתקין את התיקון?
אלא שבין גילוי לבין תיקון יש עבודה שמודל לא מעלים. קרן PHP פרסמה הסבר חריג בכנותו: סימנים לשורש אחת הבעיות נמצאו כבר ב-2024, אך העבודה נתקעה בין חלופות שפגעו בתאימות, בביצועים או בהרחבות קיימות. הקרן תיארה כשל מבני בתהליך ההחלטות ובמשאבים. הבעיות עצמן קשורות לטיפול בזיכרון ובשגיאות חמורות; בתנאים מסוימים נשאר מידע פנימי לא תקין שאפשר לנצל בהמשך. הגרסאות המתוקנות שפורסמו הן 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. גם לוח הזמנים השתבש: בעקבות דליפת מידע הוקדם הפרסום ביום. זה הצד הפחות נוצץ של אבטחת AI — אחרי שהמכונה מוצאת בעיה, אנשים עדיין צריכים להחליט איך לתקן אותה בלי לשבור את המערכות שסביבה.
המרוץ כבר יצא מגבולות המעבדה. Cloudflare דיווחה שזיהתה תעבורת תקיפה ושינויים שביצעו תוקפים בניסיונות לעקוף את ההגנות. החברה הפעילה הגנות בחומת האש לאפליקציות שלה לפני החשיפה הפומבית, אך מדגישה שגם לקוחות מוגנים צריכים לעדכן את PHP. זיהוי ניסיונות תקיפה אינו כשלעצמו הוכחה לפריצה מוצלחת, והגנה אצל ספק אחד אינה תמונת מצב של האינטרנט כולו. מבחינה כלכלית, כאן מתברר הפער: פרסום תיקון הוא פעולה מרכזית אחת; הפצתו והתקנתו הן אלפי החלטות מבוזרות אצל ספקי אחסון, מנהלי מערכות ובעלי עסקים. כל אחד צריך לברר אילו מערכות תלויות ברכיב, לבדוק את העדכון ולמצוא זמן להתקין אותו.
לקורא הישראלי, הניתוח המעשי מתחיל בחוזה התחזוקה של האתר. חנות מקוונת או עסק שמקבל פניות דרך האתר יכולים לשלם בקביעות על עיצוב, פרסום ואחסון, ועדיין לא לדעת מי אחראי לעדכון סביבת השרת. האירוע הזה ממחיש מדוע השאלה לספק אינה מסתכמת בעדכון תוסף: צריך לברר איזו גרסת PHP פועלת בפועל, האם קיבלה את התיקון, ומי מאמת זאת. אין כאן טענה שאתרים ישראליים מסוימים נפגעו; זו המשמעות העסקית של תלות בתשתית משותפת. גילוי מהיר אינו מבטיח תיקון מהיר, וההשקעה באנשי תחזוקה ובמפתחי קוד פתוח נעשית חשובה יותר ככל שכלי הגילוי משתפרים. ה-AI הצליח לקצר את הדרך אל החור. עכשיו צריך לקצר את התור של מי שסוגרים אותו.
