המערכת שלכם על PHP ישן מ-8.2? לפרצה מאוקטובר אין עדכון רשמי בשבילה

תארו לעצמכם שאתם פותחים את המחשב ביום שני בבוקר ומגלים שהחנות המקוונת למטה, או שהלקוחות שלכם מקבלים מיילים מוזרים בשם החברה. כמעט תמיד זה מתחיל במשהו שאף אחד לא הסתכל עליו: הגרסה של תוכנה נשכחת בשרת.

כרגע, אצל הרבה חברות, התוכנה הזאת היא גרסת PHP ישנה מ-8.2, בדרך כלל PHP 7.

קודם כול: מה זה PHP ולמה זה נוגע לכם

PHP היא שפת התכנות שמפעילה חלק עצום מהאינטרנט: חנויות מקוונות, אתרי WordPress, אזורים אישיים ללקוחות, מערכות פנימיות שנבנו בהתאמה אישית. כנראה שמעולם לא בחרתם ב-PHP. מישהו בחר בשבילכם, לפני שנים, וזה עבד מצוין עד עכשיו.

מה קרה

ב-21 באוקטובר הודיעו האחראים על PHP על שתי פרצות חמורות, בציון 9.2 בסולם שמגיע עד 10. הלכה למעשה, הן מאפשרות למישהו באינטרנט להשתלט על השרת שהאתר שלכם רץ עליו, בלי צורך בסיסמה. חמישה ימים אחר כך, סוכנות הסייבר של ממשלת ארצות הברית (CISA) הוסיפה את שתיהן לרשימת הפרצות שכבר משתמשים בהן בהתקפות אמיתיות.

התיקון יצא באותו יום, ה-21, אבל רק ל-PHP 8.2 ולגרסאות חדשות יותר. מי שנמצא בגרסה ישנה יותר (כל PHP 7, 8.0 ו-8.1) נשאר בלי עדכון רשמי, וזה משנה הכול: אין טעם ללחוץ על כפתור העדכון, כי לגרסאות האלה פשוט אין גרסה מתוקנת שאפשר להתקין.

כמה זה יכול לעלות לכם

התרחיש הגרוע ביותר הוא שהאתר או המערכת יפלו באמצע יום העבודה, או דווקא ביום של קמפיין מכירות. אבל יש גם תרחישים אחרים, ולא תמיד הם עושים רעש. מידע על לקוחות יכול לדלוף, כמו פרטי הרשמה, הזמנות ומיילים, ומעבר לפגיעה באמון זה יכול להפוך לתביעות ולקנסות לפי חוקי הגנת המידע, כמו LGPD בברזיל. השרת גם יכול להתחיל לעבוד בשביל פושעים, לשלוח ספאם או להפיץ הונאות, עד ש-Google מתחילה להזהיר שהאתר שלכם מסוכן. והחשבון של הניקוי בדרך כלל גדול בהרבה מהמחיר של מניעה.

אנחנו לא אומרים את זה כדי להפחיד. פרצות כאלה מנוצלות בהמוניהן, על ידי רובוטים שסורקים את האינטרנט אחרי כל שרת פגיע. אף אחד לא צריך לבחור דווקא בחברה שלכם: מספיק שהיא נמצאת בדרך.

אז פשוט לעדכן?

זה היה נהדר, אבל כמעט אף פעם זה לא פשוט. מי שעדיין בגרסה ישנה מ-8.2 בדרך כלל יש לו סיבה טובה: המערכת עובדת, מכניסה כסף ואף אחד לא רוצה לגעת בה. המעבר ל-PHP 8 משנה כללים בשפה, וחלקים שעבדו יכולים להפסיק לעבוד. תוספים ישנים, גרסאות ישנות של פריימוורקים וקוד שנכתב לפני שנים הם הראשונים להישבר.

לעדכן בעיניים עצומות זה להחליף סיכון אחד באחר. הדרך הבטוחה היא לדעת מראש מה יישבר, כמה זה יעלה ובאיזה סדר לעשות את זה.

כדי לדעת איפה אתם עומדים: מי שעובד עם PHP 8.3, 8.4 או 8.5 מוגן אם עדכן אחרי ה-21 באוקטובר (8.3.36, 8.4.27, 8.5.12 או חדשה יותר). ב-8.2 ההגנה מגיעה מ-8.2.35, ולפני כן עדיין חשוף; התמיכה בה מסתיימת ב-31 בדצמבר 2026, כך שכבר כדאי לתכנן את הצעד הבא. מתחת לזה אין עדכון רשמי. ל-8.1, ל-8.0 ול-7.4 יש רק טלאי בקוד המקור, שימושי למי שמהדר את PHP בעצמו, ול-7.3 ומטה אין שום דבר.

לא יודעים באיזו גרסה אתם עובדים? זה נורמלי. אפשר לברר את זה כבר עכשיו, למטה.

חמש שאלות לענות עליהן היום

לפני שמדברים עם מישהו, כדאי לענות על זה: באיזו גרסת PHP רצים האתרים והמערכות של החברה? מי מטפל בעדכוני השרת, והאם הוא עדיין עובד איתכם? מתי היה העדכון הגדול האחרון של המערכת? אם האתר ייפול היום, כמה החברה תפסיד ביום? והאם יש גיבוי עדכני, והאם מישהו בדק שהוא באמת עובד?

אם על אחת התשובות אמרתם "אין לי מושג", אתם לא לבד. הרבה חברות נמצאות באותו מקום, ובדיוק שם אנחנו נכנסים.

איך 360 Brave פותרת את זה איתכם

אנחנו סטודיו להנדסת תוכנה. בניתוח ההשפעה של PHP אנחנו בודקים כל מה שהחברה שלכם מריצה, מסבירים את הסיכון בשפה עסקית ומוסרים תוכנית עם לוח זמנים ומחיר שסוכמו מראש.

אנחנו מתחילים בשיחה, בדרך שלכם ובלי ז'רגון, על איך הפעילות שלכם עובדת. אחר כך, עם גישה לקריאה בלבד, אנחנו ממפים את כל האתרים והמערכות ב-PHP, את הגרסאות, מה חשוף לאינטרנט ומה יישבר בעדכון. התוצאה היא רשימה של מה לעשות קודם, לפי גודל הסיכון לעסק, עם לוח זמנים ומחיר, כולל צעדים מיידיים להקטנת החשיפה עד שהעדכון יהיה מוכן. אחר כך אנחנו מעדכנים בשלבים, עם בדיקות ותוכנית חזרה, כדי שהמערכת לא תיעצר. אם אתם מעדיפים, אנחנו מוסרים את התוכנית לצוות שלכם לביצוע.

אחרי זה, אם זה הגיוני, אנחנו מטפלים בשרת שלכם באופן שוטף. כך הפרצה הבאה תהפוך לעדכון שגרתי, ולא למצב חירום ביום שני בבוקר.

אם אתם רוצים לדעת אם החברה שלכם חשופה, דברו איתנו. קודם אנחנו מקשיבים ומבינים מה אתם מריצים; אחרי בדיקה מדוקדקת אנחנו מציעים היקף, לוח זמנים ומחיר. ואם אתם לא חשופים, נגיד לכם גם את זה.