בודק php2shell של OpenAI מצביע על סיכונים ב-PHP, אך אינו מוכיח שהוא בטוח

| blocktempo.com
OpenAI השיקה את php2shell-checker, כלי קוד פתוח לבדיקת האפשרות שהתקנות PHP מושפעות משתי חולשות קריטיות: CVE-2026-109618 ו-CVE-2026-109619. חולשות אלה עלולות לאפשר לתוקפים לא מאומתים להריץ קוד בשרת באמצעות בקשות HTTP שנוצרו במיוחד. ניתן להפעיל את php2shell-checker כמיומנויות Codex או באמצעות פקודת Node.js. בדיקת כתובת URL שולחת בקשת HEAD בלבד וקוראת את כותרות השרת; היא אינה שולחת קוד ניצול. התוצאות מסומנות OK, VULNERABLE או UNKNOWN, ופלט JSON זמין לסריקות אוטומטיות. OpenAI מזהירה שהתוצאה OK מבוססת על מספרי גרסאות ואינה מאמתת באופן עצמאי שהתיקון אכן יעיל. כותרות מוסתרות ותיקוני אבטחה שהותאמו לאחור ב-Linux עלולים גם הם להוביל לתוצאה UNKNOWN, אך אין פירוש הדבר שהמערכת מתוקנת. על מנהלי המערכת לבדוק את גרסת PHP שלהם מול הנחיות האבטחה הרשמיות ולשדרג לגרסה מתוקנת. CISA ציינה את PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35 כגרסאות מתוקנות. הנושא חשוב לעסקי קריפטו, משום שאתרים רבים משתמשים ב-PHP, ובהם פלטפורמות שעשויות לארח דפים של בורסות או פרויקטים. אתר שנפרץ עלול לשמש להתחזות או לשינוי כתובות ארנקים. הכלי מסייע ביצירת מיפוי ראשוני, אך אינו מחליף התקנת תיקונים או הגנה באמצעות חומת אש ליישומי אינטרנט.
Neutral
השקת php2shell-checker היא התפתחות בתחום אבטחת הסייבר, ולא גורם ישיר למחירי מטבעות הקריפטו. היא אינה משנה את היצע הטוקנים, את הכלכלה של הפרוטוקולים, את תנאי הרגולציה או את הגישה למסחר, ולכן תגובת שוק רחבה ומיידית אינה סבירה. עם זאת, סוחרים עשויים לעקוב אחר דיווחים על פריצות לבורסות קריפטו או לאתרי אינטרנט של פרויקטים בתחום, שכן אירועים כאלה עלולים להוביל לדיוג, לשינוי כתובות של ארנקים או לשיבושים זמניים בשירות. המאמר מציין דיווחים סותרים בנוגע לניצול שנצפה, ולכן היקפו של כל אירוע אינו ודאי. בטווח הקצר, ההשפעה העיקרית האפשרית על השוק תהיה מונעת מסנטימנט וייחודית לחברה מסוימת: פריצה מאומתת עלולה לערער את האמון בפלטפורמה שנפגעה ולהגביר את התנודתיות בטוקן שלה או בנכסים קשורים. הדבר דומה לחולשות תוכנה בולטות מהעבר, כגון Log4Shell, שבהן התמקדו בשירותים חשופים ובסיכון תפעולי, ולא בתנועה אחידה בכל שוק הקריפטו. בטווח הארוך, הכלי עשוי לעודד בדיקות אבטחה מהירות יותר, אך הוא אינו מתקן מערכות; עדיין נדרשים שדרוגים, הגנת WAF ואימות נאות. בסך הכול, נכון להעריך את החדשות כניטרליות עבור שוק הקריפטו הרחב, עם סיכון מותנה לירידות עבור כל פלטפורמה שבה תאושר בהמשך פריצה.