מה קרה
ב-21 באוקטובר 2026 פרסמה PHP תיקונים ל-CVE-2026-109618 ול-CVE-2026-109619, המכונות יחד PHP2Shell. הפרצות עלולות לאפשר לתוקף להריץ קוד בשרת אינטרנט פגיע בלי להתחבר. הודעת PHP הרשמית מפרטת את ההתקנות הפגיעות ואת העדכונים. ה-NSA המליצה למפעילים להתקין תיקונים במהירות ולשקול לנתק מערכות פגיעות אם אינם יכולים לאבטח אותן. השבתה כאמצעי זהירות אינה כשלעצמה ראיה לפריצה. על המפעילים לבדוק הנחיות עדכניות של הספקים, לרבות הודעות מאוחרות יותר, ולא להסתמך על מאמר זה כרשימת פעולות להתקנת תיקונים.
מה זה אומר לגבי הנתונים שלכם
הסיכון המיידי נוגע לשירותים המפעילים התקנות PHP פגיעות ולמידע שהשירותים האלה יכולים לגשת אליו. אין בכך הוכחה שכל אחסון מקוון אינו בטוח או שהקבצים שלכם דלפו. כמבקרים, אינכם יכולים לעדכן את שרתי הספק. אפשר לצמצם העלאות, לעדכן את התוכנות שלכם ולבדוק הודעות אבטחה רשמיות של הספק. אם החשבון נפגע, פעלו לפי הנחיות שמקורן אומת. הימנעו מקישורים לאיפוס סיסמה בהודעות לא צפויות: היכנסו לשירות ישירות. שמרו גיבוי נפרד של קבצים שאינכם יכולים להרשות לעצמכם לאבד.
איפה הצפנה עוזרת, ואיפה אינה מספיקה
הצפנת קבצים במכשיר לפני העלאה, כשהמפתחות נשמרים מחוץ לשרת, עוזרת להגן על תוכנם אם העותקים המאוחסנים נגנבים. היא אינה הופכת כל פריצה לשרת לבלתי מזיקה: תוקפים עדיין עשויים לראות נתוני מטא, למחוק קבצים או לשנות את הקוד שיישום אינטרנט שולח לדפדפן. הקוד הזה עלול לגנוב מפתחות בעת השימוש ביישום, סיכון המתואר במודל האבטחה של Proton. הצפנה חזקה דורשת גם מכשירים מאובטחים ותוכנה מהימנה. קבצים שנשארים רק במכשיר אינם נחשפים בפריצה לשירות שמעולם לא הועלו אליו.
בחרו מה נשאר במכשיר
אי אפשר למנוע כל פגם בתוכנה, אבל אפשר לבחור היכן הקבצים הפרטיים נשמרים. Sealby מצפין את תוכן הכספות במכשיר שלכם. השאירו כספת מקומית בלבד אם אינכם רוצים שתוכנה יועלה; סנכרון iCloud מוצפן הוא אופציונלי ומופעל בנפרד לכל כספת בהגדרות. אם תפעילו סנכרון או תיצרו גיבוי מוצפן, עותקים עשויים להימצא מחוץ למכשיר. ההגנה עליהם עדיין תלויה בשמירה על פרטי פתיחת הנעילה וביטוי השחזור. הצפנה אינה מגינה על כספת שכבר נפתחה מפני מי ששולט במכשיר, ואינה מסירה קובצי מקור שהשארתם ביישומים או בשירותי ענן אחרים.