22/10/2026 מערכת FUNDER

שתי חולשות אבטחה חמורות בשפת התכנות PHP, שעליה נשענים אתרים ומערכות תוכן רבים בעולם, הובילו ב-21 באוקטובר לשחרור גרסאות חירום ולשורה של התרעות של גופי סייבר ממשלתיים. סוכנות הידיעות AP דיווחה כי גופים ציבוריים באירופה ובארה"ב השביתו זמנית שירותי אינטרנט כדי להתגונן. אתר ממשלת פינלנד, למשל, פעל באופן חלקי במהלך הטיפול. אין פירוש הדבר שכל אתר מבוסס PHP נפרץ או נפגע.

קרן PHP אישרה כי מדובר בשני ליקויים, CVE-2026-109618 ו-CVE-2026-109619, שעלולים בתנאים מסוימים לאפשר לתוקף שאינו מחובר למערכת להריץ קוד בשרת מרחוק. תיקוני האבטחה נכללו בגרסאות PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. האיחוד האירופי, באמצעות ENISA, CERT-EU וגופים נוספים, קרא לארגונים לבדוק אילו מערכות מושפעות ולהתקין את העדכונים בדחיפות.

לא רק פרצה - גם שינוי ביכולת לגלות אותה

בפרשה הזאת יש תפקיד משמעותי לכלי בינה מלאכותית, אך חשוב לדייק בקרדיט. לפי קרן PHP, סימנים ראשונים לאחד הליקויים אותרו בידי מפתח אנושי כבר ב-2024. באוגוסט 2026 הציג חוקר בחברת Calif, שנעזר במודל של OpenAI, דרך מעשית לניצול החולשה. OpenAI ו-Wiz תרמו ממצאים עצמאיים נוספים, לאחר שגם מודל Claude Mythos של אנתרופיק שימש קודם לכן לבדיקת הקוד. תיקון הפרצות הובל בידי אנשי פרויקט PHP, בסיוע חברות המחקר והאבטחה.

OpenAI פרסמה ב-21 באוקטובר מסמך חדש בשם Patch the Planet, המציע מנגנון תיאום בין חוקרי חולשות, מתחזקי תוכנה, ספקיות תשתית וגופי ממשל, כדי לקצר את הזמן בין גילוי ליקוי לבין הגנה מעשית. זהו מנגנון מוצע ולא תקן ממשלתי מחייב. החברה מזכירה במסמך גם התחייבות בהיקף מיליארד דולר להנגשת כלי הגנת סייבר. יש להדגיש שהתחייבות זו פורסמה כבר ב-3 בספטמבר ואינה החלטה חדשה של היממה האחרונה.

הפער בין גילוי מוקדם לבין מתקפה בפועל

OpenAI הציגה את גילוי הפרצות כדוגמה לחלון הזדמנויות שבו הגורמים המגינים מצליחים למצוא חולשות לפני תוקפים. אלא שה-Financial Times דיווח כעת על אזהרה של אמזון שלפיה זוהו ניסיונות ניצול של הפרצות, לרבות פעילות שזוהתה לפני הגילוי הפומבי. אין בשלב זה מידע פומבי מספק כדי לקבוע את היקף הנזק או להסיק שכל המערכות החשופות אכן נפרצו. ההבחנה בין ניסיון ניצול, פריצה שהצליחה והשבתה יזומה כאמצעי זהירות חיונית להבנת האירוע.

כאן נמצא הקשר למאמרו של דריו אמודאי, We Must Pace the Frontier: כאשר יכולות ה-AI מקצרות את הזמן הדרוש לאיתור ולניצול חולשות, מערכות ההגנה נדרשות להגיב מהר יותר. עם זאת, אין מדובר בתגובה ישירה למאמר, וגם לא באירוע שבו סוכן AI יצא משליטה ותקף אתרים מיוזמתו. גילוי חולשות במסגרת מחקר מבוקר אינו מאמת את תרחיש הסיכון של 6-12 חודשים שאמודאי תיאר, ותרחיש זה אינו תחזית ודאית.

המשמעות למשקיעים

פרשת PHP ממחישה כיצד פרצת תשתית אחת עשויה לייצר בבת אחת ביקוש לעדכוני תוכנה, לניהול חולשות, לסינון תעבורת רשת, לשירותי ענן ולשיקום מערכות. חברות אבטחה וספקיות תשתית עשויות ליהנות מביקוש לשירותי הגנה, אך לקוחותיהן עלולים לספוג גם הוצאות בלתי צפויות והשבתות. ההשפעה על ההכנסות והרווחיות של החברות בענף עדיין אינה ניתנת לכימות.

במישור הרחב, האירוע מחדד את שאלת התשואה על השקעות ה-AI: יכולות מתקדמות עשויות להפוך לכלי הגנה בעל ערך כלכלי משמעותי, אך אותן יכולות עלולות לשרת גם תוקפים. נכון למועד כתיבת שורות אלה אין בסיס עובדתי לייחס לפרסום הפרצות תזוזות מסוימות במניות אבטחת מידע, שבבים או ענן.