פרצת אבטחה קריטית ב-PHP: כך תגנו על אתר ה-WordPress שלכם

ב-21 באוקטובר 2026, צוות הפיתוח של PHP פרסם הודעה: "פגיעות קריטית, עדכן מיד". PHP היא שפת התכנות המניעה אתרים רבים, בהם WordPress. שני הפגמים שהתגלו היוו סיכון שצד שלישי לא מאומת יוכל להריץ תוכנות בשרת מבחוץ.

למחרת, בדקתי את אתרי ה-WordPress שאני מנהל. הכלל היחיד שקבעתי היה: "אל תכתוב דבר לשרת. רק קרא והתבונן". אם הייתי ממהר לעדכן או למחוק קבצים, לא הייתי יכול עוד להבחין בין עקבות של תקיפה לבין עקבות של העבודה שלי.

בדקתי שישה אזורים: קבצים ששונו לאחרונה, קבצי PHP מוסתרים בתיקיות תמונות, שמות חשודים או קבצים מוסתרים, מטמונים (caches), מנהלי מערכת ומשימות מתוזמנות, וקובצי הליבה של WordPress עצמם. כאשר השוויתי את 1,315 קובצי הליבה של PHP בזה אחר זה מול סכומי הבדיקה (checksums) הרשמיים שסופקו, לא היו הבדלים, קבצים נוספים או קבצים חסרים. גם לא היו קבצים ששונו. כצפוי, היה רק מנהל מערכת אחד.

למרות זאת, לא כתבתי ש"הבטיחות אושרה". הסיבה לכך היא שאם לא נשמרים יומני גישה (access logs), אי אפשר לדעת אם התרחשה תקיפה. השארתי במאמר את הדברים שלא יכולתי לאמת במלואם כפי שהם.

מה תלמד במאמר זה

• סקירה כללית של הפגיעות הקריטית ב-PHP (פורסמה ב-21 באוקטובר 2026) והגרסאות המתוקנות

• ששת האזורים שנבדקו לגילוי שיבושים ב-WordPress והתוצאות שלהם

• דברים שלא ניתן היה לאמת במלואם במהלך הבדיקה (נוכחות תקיפות, תוספים, גרסאות PHP ישנות)

• סדר הפעולות לביצוע בדיקה עצמית של שיבושים ב-WordPress

פירטתי את כל מה שחיפשתי בכל אחד מששת התחומים ואת ההנחיות לביצוע הבדיקה באופן עצמאי באתר UMEO CREATE.

⁦https://www.umeocreate.com/blog/wordpress-tampering-check-php-vulnerability.html⁩