ביום רביעי, 21 באוקטובר, ביקשו ממשלות ברחבי העולם מבעלי אתרים לעשות משהו חריג: לכבות אותם.
זו לא הייתה המלצה שגרתית. סוכנות הביטחון הלאומי האמריקאית (NSA) הזהירה ששתי פרצות שהתגלו ב-PHP, שפת התכנות שמפעילה חלק גדול מאתרי האינטרנט, עלולות לפתוח לתוקפים "נתיב ישיר" אל הקבצים ומסדי הנתונים. ראש ממשלת יפן, סאנאה טקאיצ'י, כתבה לציבור: "יש לנו בקשה דחופה מכולם לפעול עוד הלילה". ובזמן שהממשלות ניסחו אזהרות, התוקפים כבר היו בעבודה. לפי מנכ"ל Cloudflare, מספר ניסיונות הפריצה זינק מאלפים לעשרות אלפים ב-45 הדקות שאחרי ההודעה, למאות אלפים תוך שעתיים, ומשם למיליונים.
אז רבים פשוט כיבו את האור. ממשלת פינלנד השביתה את השירותים המקוונים שלה. בבריטניה ירדו מהאוויר 32 שירותים ממשלתיים. סוכנות הסייבר של הולנד הורידה את האתר של עצמה, ואתר הפרלמנט ההולנדי הפסיק להיטען. ויקיפדיה השביתה חלק ממערכותיה, וגם ה-BBC הוריד עמודים.
גם בישראל צלצלו כל הפעמונים. מערך הסייבר הלאומי פרסם הנחיה דחופה לכל מי שמפעיל אתר: לעדכן את גרסת ה-PHP מיד, ומי שלא יכול, שישקול להוריד את האתר מהרשת.
אז אנשים התחילו לבדוק. ביום רביעי בבוקר הטלפון שלי לא הפסיק לצלצל. מנהלי שיווק ומנהלי מערכות מידע של חברות שאנחנו עובדים איתן שאלו כולם את אותה השאלה: האם האתר שלנו בסכנה? לכולם עניתי שהם יכולים להיות רגועים, כי האתרים שלנו לא מבוססים על פלטפורמות קוד פתוח, ולכן פרצת האבטחה הזו לא רלוונטית עבורם.
אבל השיחות האלה גרמו לי לחשוב על כל אלה שגילו באותו בוקר שהם בכלל לא יודעים על מה האתר שלהם בנוי.
רובנו מעולם לא שמענו על PHP, אבל אנחנו פוגשים אותה כל יום. PHP היא שפת תכנות שרצה על השרת, מאחורי הקלעים: בכל פעם שאתם נכנסים לאתר, זה הקוד שאוסף את המידע והופך אותו לעמוד שאתם קוראים. היא פותחה בתחילת שנות ה-90, ומאז הפכה לתשתית של חלק עצום מהרשת. לפי הערכת Wiz, אחת החברות שחשפו את הפרצות, כ-70% מהאתרים בעולם נשענים עליה.
PHP נמצאת כמעט בכל מקום. היא מפעילה בשקט את וורדפרס, דרופל, ג'ומלה ומג'נטו, פלטפורמות אחסון ואינספור תוכנות שאפילו לא מספרות שהן רצות עליה.
ובראש הרשימה עומדת וורדפרס, המערכת שמאחורי כ-43% מכלל האתרים בעולם, מבלוגים אישיים ועד אתרי חברות, חנויות ופורטלים ממשלתיים. אם האתר שלכם בנוי על וורדפרס או דרופל, הסיפור הזה עליכם.
והנה החלק שהכי קשה להפנים. תחשבו על האתר כעל בית. בדרך כלל, כשמדברים על פרצות בוורדפרס, מדובר בדלת או בחלון: תוסף לא מעודכן או סיסמה חלשה. מחליפים מנעול, והבעיה נפתרה. הפעם הסדק נמצא ביסודות. הפרצה היא בשפה עצמה, ולכן גם מי שהקפיד לעדכן כל תוסף וכל ערכת עיצוב עדיין חשוף. את הבעיה אי אפשר לפתור בעדכון וורדפרס או התוספים. התיקון חייב להיות מותקן על PHP עצמה, בשרת.
הסיפור של הפרצה מתחיל דווקא ב-2024. כבר אז חשדו בקרן PHP, הגוף ללא מטרות רווח שמתחזק את השפה, שיש בקוד בעיה. אבל איש לא הצליח להוכיח שמישהו באמת יכול לנצל אותה, והחשד נשאר על המדף.
ואז הגיעה הבינה המלאכותית. בקיץ 2026 הצטרפה PHP לתוכנית של OpenAI, שבה כלי AI מתקדמים סורקים קוד ומחפשים בו פרצות. תוך כמה שבועות הוכיחו חוקרים מחברות האבטחה Calif ו-Wiz את מה שבני אדם לא הצליחו להוכיח במשך שנים. "זו החולשה הכי חמורה שמצאתי אי פעם," אמר ריאן אוסטין, החוקר מ-Calif שהיה שותף לגילוי. וחוקר הסייבר סליל קנהרה, מאוניברסיטת UNSW בסידני, הסביר: "הבאגים לא חדשים. מה שהשתנה הוא היכולת שלנו למצוא אותם."
התוכנית הייתה לפרסם את הפרצה בהמשך אוקטובר, יחד עם תיקון מלא. אבל ביום שלישי דלפו הפרטים לרשתות החברתיות, והשמועה הגיעה גם לצד השני. פושעי סייבר התחילו להשתמש בכלי בינה מלאכותית משלהם כדי למצוא את הדרך פנימה, ואמזון דיווחה שספגה ניסיונות תקיפה כבר ימים לפני הפרסום. קרן PHP נאלצה להקדים את ההודעה, וכך התחיל מרוץ: מצד אחד מגינים שממהרים להתקין את התיקון, ומצד שני תוקפים שממהרים לנצל את הפרצה לפניהם. מי שלא היה בטוח שינצח במרוץ, פשוט כיבה את האתר.
אפשר היה לסגור את הסיפור כאן: נמצאה פרצה, שוחרר תיקון, מעדכנים וממשיכים הלאה. אבל מי שגילה אותה חושב אחרת. "עכשיו כשהסכר נפרץ," אמר ריאן אוסטין, "הרבה אנשים יתחילו לחפש מה עוד יש שם."
וזה בדיוק העניין. הבינה המלאכותית לא ממציאה פרצות חדשות. היא מוצאת, ומהר מאוד, את אלה שכבר קיימות. ורוב התוכנות שעליהן נשענים האתרים שלנו נכתבו לפני עשור ויותר, בתקופה שבה השאלה הייתה "האם זה עובד", ולא "האם זה בטוח". חלק גדול מהן מתוחזק עד היום בידי קבוצות קטנות של מתנדבים.
לארגונים המשמעות פשוטה. האתר הוא לא רק חלון הראווה של החברה. הוא נכס שמחזיק לידים, נתוני לקוחות ואת המוניטין של המותג, והוא יושב על יסודות שרוב הארגונים לא מכירים ולא שולטים בהם. הפרצה הזו לא תהיה האחרונה. השאלה היא רק אם בפעם הבאה תשמעו עליה מהחדשות, או מהלקוחות.
הצעד הראשון הוא גם הדחוף ביותר: לברר. פנו לספק האחסון או לחברה שמתחזקת את האתר, ושאלו שתי שאלות פשוטות. האם גרסת ה-PHP בשרת עודכנה? והאם נבדק שאיש לא חדר לאתר לפני העדכון? אם אין לכם למי להתקשר, זה כבר ממצא בפני עצמו.
הצעד השני: לקבוע מי אחראי. עדכוני אבטחה הם לא אירוע חד-פעמי אלא עבודה שוטפת, וצריך שתהיה בארגון, או מחוצה לו, כתובת ברורה שזו האחריות שלה. כדאי לוודא גם שהאתר לא רץ על גרסת PHP ישנה, שכבר לא מקבלת עדכוני אבטחה בכלל.
הצעד השלישי, והחשוב מכולם, הוא לשאול שאלה גדולה יותר: האם נכון בכלל להמשיך להחזיק את היסודות בעצמכם?
זוכרים איך PHP עובדת? בכל פעם שמישהו נכנס לאתר, הקוד בשרת אוסף את המידע ומרכיב ממנו עמוד. זה בדיוק מה שהופך את השרת לנקודת תורפה: יש שם מנוע שפועל כל הזמן, ומי שמוצא בו סדק, נכנס.
בשנים האחרונות צמחה בעולם גישה אחרת לבניית אתרים, שנקראת Headless. בגישה הזו, המערכת שבה עורכים את התוכן נפרדת מהאתר שהגולשים רואים. העמודים מוכנים מראש, וכשמישהו נכנס לאתר הוא פשוט מקבל עמוד מוכן, בלי שמנוע כלשהו צריך לבנות אותו מחדש.
מבחינת אבטחה ההבדל משמעותי. כשהעמוד מוכן מראש, אין קוד שרץ על השרת בכל פעם שגולש נכנס, ולכן גם אין מנוע חשוף שאפשר לנצל. מערכת הניהול מופרדת מהאתר הציבורי, ושטח התקיפה מצטמצם מאוד. זו לא חסינות מוחלטת, כי שום מערכת לא חסינה לגמרי, אבל זה שינוי בכללי המשחק.
בריצ'קיד, למשל, אנחנו עובדים עם MOODCMS, פלטפורמת ענן שבנויה בדיוק בגישה הזו. האתר מוגש כקבצים סטטיים, והתשתית מנוהלת ומתעדכנת בענן. כלומר, אין שרת שהארגון צריך לתחזק בעצמו, ואין צורך לרוץ ולבדוק גרסאות בכל פעם שמתגלה פרצה חדשה.
הגישה הזו כבר צוברת תאוצה, ואני רואה את זה מקרוב. מאותו אירוע אני מקבל עוד ועוד פניות, גם מחברות שאינן לקוחות שלנו. אבל השאלה השתנתה. במקום "האם אנחנו בסכנה?" הן שואלות: "במה כרוך המעבר?" הן כבר מבינות שאתר שרץ על שרת חשוף הוא סיכון שלא שווה לקחת. מה שמדאיג אותן הוא המעבר עצמו: חודשים של עבודה, תקציב, ותוכן שצריך להעביר עמוד אחרי עמוד.
התשובה שלי: שבעה ימים.
בעזרת כלי AI אנחנו מעבירים היום אתרים מוורדפרס ל-MOODCMS תוך שבוע, בעלות נמוכה ובבטחה. אותה טכנולוגיה שחשפה את הפרצה היא גם זו שמאפשרת לצאת ממנה מהר.
ביום רביעי בבוקר, בזמן שממשלות כיבו אתרים, הלקוחות שלנו המשיכו לעבוד כרגיל. הפרצה הבאה כבר בדרך. השאלה היא איפה יהיה האתר שלכם כשהיא תגיע.
מוורדפרס לענן מנוהל תוך 7 ימים
רוצים לדעת אם האתר שלכם חשוף, ומה יידרש כדי להעביר אותו ל-MOODCMS? דברו איתנו.
