סיכום עדכוני אבטחה ופרצות: אוקטובר 2026

אם אתה מפעיל אתר אינטרנט, אתה כבר מודע לכך שפגיעות יחידה שלא תוקנה עלולה להפוך את האתר שלך לבלתי נגיש, לסכן את המוניטין שלך או לחייב תיקון נרחב בעקבות התקפה. רוב פרצות האבטחה שאנו רואים נובעות מהתקפות אוטומטיות המנצלות פרצות תוכנה ידועות, לרוב אותן פרצות שדווחו ונחשפו בעבר.

כדי לסייע בשמירה על עמדת האבטחה שלך, ריכזנו את סיכום החודש של עדכוני אבטחה חיוניים ותיקוני פגיעות הרלוונטיים למערכת האקולוגית ⁦WordPress⁩.

עבור אלה שכבר משתמשים ב-⁦Sucuri Firewall⁩, האתר שלך מוגן, מכיוון שפגיעויות אלו מטופלות ביעילות עבור כל הלקוחות. אם אין לך כרגע הגנה כזו, מומלץ לפרוס חומת אש של יישום אינטרנט כדי למנוע מהתקפות להגיע לסביבה שלך.

תוספים

⁦Elementor Website Builder⁩ – ⁦Authenticated⁩ (⁦Author+⁩) ⁦Stored Cross-Site Scripting⁩

⁦Security Risk: Medium Exploitation Level: Requires Author or higher level authentication. Vulnerability: Authenticated (Author+) Stored Cross-Site Scripting CVE: CVE-2026-81812 Number of Installations: 10,000,000+ Affected Software: Elementor Website Builder ≤ 4.3.4 Patched Versions: 4.3.5⁩

שלבי הקלה: עדכן לגרסה ⁦Elementor Website Builder⁩ 4.3.5 ומעלה.

⁦Elementor Website Builder⁩ – ⁦Authenticated⁩ (⁦Contributor+⁩) ⁦Stored Cross-Site Scripting⁩

⁦Security Risk: Medium Exploitation Level: Requires Contributor or higher level authentication. Vulnerability: Authenticated (Contributor+) Stored Cross-Site Scripting CVE: CVE-2026-81813 Number of Installations: 10,000,000+ Affected Software: Elementor Website Builder ≤ 4.3.4 Patched Versions: 4.3.5⁩

שלבי הקלה: עדכן לגרסה ⁦Elementor Website Builder⁩ 4.3.5 ומעלה.

Elementor Website Builder – היעדר הרשאה המוביל לחשיפת מידע רגיש עבור משתמשים מאומתים (Contributor+) באמצעות הפרמטרים 'is_public' ו-'keys_conversion_map'

⁦Security Risk: Medium Exploitation Level: Requires Contributor or higher level authentication. Vulnerability: Missing Authorization to Authenticated (Contributor+) Sensitive Information Exposure via 'is_public' and 'keys_conversion_map' Parameters CVE: CVE-2026-11905 Number of Installations: 10,000,000+ Affected Software: Elementor Website Builder ≤ 4.2.3 Patched Versions: 4.2.4⁩

שלבי הקלה: עדכן לגרסה ⁦Elementor Website Builder⁩ 4.2.4 ומעלה.

LiteSpeed Cache – הרצת סקריפטים בין-אתרים (Stored XSS) מאומתת (Subscriber+) דרך VPI Image Attribute Re-Serialization

⁦Security Risk: Medium Exploitation Level: Requires Subscriber or higher level authentication. Vulnerability: Authenticated (Subscriber+) Stored Cross-Site Scripting via VPI Image Attribute Re-Serialization CVE: CVE-2026-109215 Number of Installations: 7,000,000+ Affected Software: LiteSpeed Cache ≤ 7.9.1 Patched Versions: 7.9.2⁩

שלבי הקלה: עדכן לגרסה ⁦LiteSpeed Cache⁩ 7.9.2 ומעלה.

LiteSpeed Cache – הרצת סקריפטים בין-אתרים (Stored XSS) ללא אימות דרך מחזיק מקום צפוי ב-HTML Minifier (md5(REQUEST_TIME) + str_replace בשני שלבים)

⁦Security Risk: High Exploitation Level: No authentication required. Vulnerability: Unauthenticated Stored Cross-Site Scripting via HTML Minifier Predictable Placeholder (md5(REQUEST_TIME) + two-pass str_replace) CVE: CVE-2026-116763 Number of Installations: 7,000,000+ Affected Software: LiteSpeed Cache ≤ 7.9.1 Patched Versions: 7.9.2⁩

שלבי הקלה: עדכן לגרסה ⁦LiteSpeed Cache⁩ 7.9.2 ומעלה.

⁦LiteSpeed Cache⁩ – ⁦Unauthenticated Stored Cross-Site Scripting⁩

⁦Security Risk: High Exploitation Level: No authentication required. Vulnerability: Unauthenticated Stored Cross-Site Scripting CVE: CVE-2026-113500 Number of Installations: 7,000,000+ Affected Software: LiteSpeed Cache < 7.9.2 Patched Versions: 7.9.2⁩

שלבי הקלה: עדכן לגרסה ⁦LiteSpeed Cache⁩ 7.9.2 ומעלה.

⁦LiteSpeed Cache⁩ – ⁦Missing Authorization⁩

⁦Security Risk: Medium Exploitation Level: Requires Author or higher level authentication. Vulnerability: Missing Authorization CVE: CVE-2026-113501 Number of Installations: 7,000,000+ Affected Software: LiteSpeed Cache < 7.9.2 Patched Versions: 7.9.2⁩

שלבי הקלה: עדכן לגרסה ⁦LiteSpeed Cache⁩ 7.9.2 ומעלה.

⁦LiteSpeed Cache⁩ – ⁦Unauthenticated Information Exposure⁩

⁦Security Risk: High Exploitation Level: No authentication required. Vulnerability: Unauthenticated Information Exposure CVE: CVE-2026-114190 Number of Installations: 7,000,000+ Affected Software: LiteSpeed Cache ≤ 7.9 Patched Versions: 7.10⁩

שלבי הקלה: עדכן לגרסה 7.10 ומעלה ⁦LiteSpeed Cache⁩.

WooCommerce – ⁦Authenticated⁩ (⁦Shop Manager+⁩) ⁦Privilege Escalation⁩

⁦Security Risk: High Exploitation Level: Requires Shop Manager or higher level authentication. Vulnerability: Authenticated (Shop Manager+) Privilege Escalation CVE: CVE-2026-106608 Number of Installations: 7,000,000+ Affected Software: WooCommerce 9.8.0 - 11.1.2 Patched Versions: 11.1.3⁩

שלבי הקלה: עדכן לגרסה ⁦WooCommerce⁩ 11.1.3 ומעלה.

⁦WPForms⁩ – ⁦Reflected Cross-Site Scripting⁩ באמצעות '⁦query_var⁩' ⁦Smart Tag⁩ ב-iframe srcdoc ⁦Attribute⁩

⁦Security Risk: Low Exploitation Level: No authentication required. Vulnerability: Reflected Cross-Site Scripting via 'query_var' Smart Tag in iframe srcdoc Attribute CVE: CVE-2026-101921 Number of Installations: 5,000,000+ Affected Software: WPForms ≤ 2.0.2.1 Patched Versions: 2.0.2.2⁩

שלבי הקלה: עדכן לגרסה ⁦WPForms⁩ 2.0.2.2 ומעלה.

⁦Rank Math⁩ ⁦SEO⁩ – ⁦Authenticated⁩ (⁦Contributor+⁩) ⁦PHP⁩ ⁦Object Injection⁩ עד ⁦Remote Code Execution⁩

⁦Security Risk: Medium Exploitation Level: Requires Contributor or higher level authentication. Vulnerability: Authenticated (Contributor+) PHP Object Injection to Remote Code Execution CVE: CVE-2026-1928 Number of Installations: 4,000,000+ Affected Software: Rank Math SEO ≤ 1.0.276 Patched Versions: 1.0.277⁩

שלבי הקלה: עדכן לגרסה ⁦Rank Math⁩ ⁦SEO⁩ 1.0.277 ומעלה.

⁦Rank Math⁩ ⁦SEO⁩ – ⁦Authenticated⁩ (⁦Administrator+⁩) ⁦SQL⁩ הזרקה

⁦Security Risk: Low Exploitation Level: Requires Administrator or higher level authentication. Vulnerability: Authenticated (Administrator+) SQL Injection CVE: CVE-2026-104753 Number of Installations: 4,000,000+ Affected Software: Rank Math SEO ≤ 1.0.279 Patched Versions: 1.0.280⁩

שלבי הקלה: עדכן לגרסה ⁦Rank Math⁩ ⁦SEO⁩ 1.0.280 ומעלה.

⁦Rank Math⁩ ⁦SEO⁩ – ⁦Authenticated⁩ (⁦Administrator+⁩) ⁦Arbitrary File Upload⁩

⁦Security Risk: Low Exploitation Level: Requires Administrator or higher level authentication. Vulnerability: Authenticated (Administrator+) Arbitrary File Upload CVE: CVE-2026-104752 Number of Installations: 4,000,000+ Affected Software: Rank Math SEO ≤ 1.0.279 Patched Versions: 1.0.280⁩

שלבי הקלה: עדכן לגרסה ⁦Rank Math⁩ ⁦SEO⁩ 1.0.280 ומעלה.

⁦Rank Math⁩ ⁦SEO⁩ – ⁦Authenticated⁩ (⁦Administrator+⁩) ⁦Stored Cross-Site Scripting⁩

⁦Security Risk: Low Exploitation Level: Requires Administrator or higher level authentication. Vulnerability: Authenticated (Administrator+) Stored Cross-Site Scripting CVE: CVE-2026-104754 Number of Installations: 4,000,000+ Affected Software: Rank Math SEO ≤ 1.0.279 Patched Versions: 1.0.280⁩

שלבי הקלה: עדכן לגרסה ⁦Rank Math⁩ ⁦SEO⁩ 1.0.280 ומעלה.

Jetpack – ⁦Missing Authorization⁩

⁦Security Risk: Medium Exploitation Level: No authentication required. Vulnerability: Missing Authorization CVE: CVE-2026-106601 Number of Installations: 3,000,000+ Affected Software: Jetpack ≤ 16.2 Patched Versions: 16.3⁩

שלבי הקלה: עדכן לגרסה ⁦Jetpack⁩ 16.3 ומעלה.

All in One SEO – חשיפת מידע רגיש ללא אימות בפרמטר השאילתה 's'

⁦Security Risk: High Exploitation Level: No authentication required. Vulnerability: Unauthenticated Sensitive Information Disclosure in 's' Search Query Parameter CVE: CVE-2026-109367 Number of Installations: 2,000,000+ Affected Software: All in One SEO ≤ 5.0.3 Patched Versions: 5.0.4⁩

שלבי הקלה: עדכן ל-All in One ⁦SEO⁩ גרסה 5.0.4 ומעלה.

All in One SEO – הרצת קוד Shortcode שרירותי ללא אימות באמצעות פרמטר השאילתה 's'

⁦Security Risk: High Exploitation Level: No authentication required. Vulnerability: Unauthenticated Arbitrary Shortcode Execution via 's' Search Query Parameter CVE: CVE-2026-100152 Number of Installations: 2,000,000+ Affected Software: All in One SEO ≤ 5.0.2 Patched Versions: 5.0.3⁩

שלבי הפחתה: עדכן ל-All in One ⁦SEO⁩ גרסה 5.0.3 ומעלה.

הכל באחד ⁦SEO⁩ – ⁦Unauthenticated Arbitrary Shortcode Execution⁩

⁦Security Risk: High Exploitation Level: No authentication required. Vulnerability: Unauthenticated Arbitrary Shortcode Execution CVE: CVE-2026-19856 Number of Installations: 2,000,000+ Affected Software: All in One SEO ≤ 5.0.2.0 Patched Versions: 5.0.2.1⁩

שלבי הקלה: עדכן ל-All in One ⁦SEO⁩ גרסה 5.0.2.1 ומעלה.

All in One SEO – הרצת סקריפטים בין-אתרים (Reflected DOM-Based XSS) מבוססת DOM דרך נתיב ה-URL

⁦Security Risk: Low Exploitation Level: No authentication required. Vulnerability: Reflected DOM-Based Cross-Site Scripting via URL Pathname CVE: CVE-2026-85492 Number of Installations: 2,000,000+ Affected Software: All in One SEO ≤ 5.0.1.1 Patched Versions: 5.0.1.2⁩

שלבי הקלה: עדכן ל-All in One ⁦SEO⁩ גרסה 5.0.1.2 ומעלה.

Essential Addons for Elementor – הסלמת הרשאות ללא אימות לפרמטר 'page_id' דרך Elementor Revision

⁦Security Risk: Low Exploitation Level: No authentication required. Vulnerability: Unauthenticated Privilege Escalation to 'page_id' Parameter via Elementor Revision CVE: CVE-2026-118205 Number of Installations: 1,000,000+ Affected Software: Essential Addons for Elementor ≤ 6.8.7 Patched Versions: 6.8.8⁩

שלבי הקלה: עדכן לגרסה ⁦Essential Addons for Elementor⁩ 6.8.8 ומעלה.

⁦Essential Addons for Elementor⁩ – ⁦Unauthenticated Information Exposure⁩

⁦Security Risk: High Exploitation Level: No authentication required. Vulnerability: Unauthenticated Information Exposure CVE: CVE-2026-110509 Number of Installations: 1,000,000+ Affected Software: Essential Addons for Elementor < 6.8.7 Patched Versions: 6.8.7⁩

שלבי הקלה: עדכן לגרסה ⁦Essential Addons for Elementor⁩ 6.8.7 ומעלה.

⁦Essential Addons for Elementor⁩ – ⁦Authenticated⁩ (⁦Author+⁩) ⁦Stored Cross-Site Scripting⁩

⁦Security Risk: Medium Exploitation Level: Requires Author or higher level authentication. Vulnerability: Authenticated (Author+) Stored Cross-Site Scripting CVE: CVE-2026-110510 Number of Installations: 1,000,000+ Affected Software: Essential Addons for Elementor < 6.8.7 Patched Versions: 6.8.7⁩

שלבי הקלה: עדכן לגרסה ⁦Essential Addons for Elementor⁩ 6.8.7 ומעלה.

⁦Speed Optimizer⁩ – ⁦Missing Authorization⁩

⁦Security Risk: Medium Exploitation Level: Requires Author or higher level authentication. Vulnerability: Missing Authorization CVE: CVE-2026-111738 Number of Installations: 1,000,000+ Affected Software: Speed Optimizer < 7.8.5 Patched Versions: 7.8.5⁩

שלבי הקלה: עדכן לגרסה ⁦Speed Optimizer⁩ 7.8.5 ומעלה.

Duplicator – הרצת קוד שרירותי מאומתת (Multisite Subsite Admin+)

⁦Security Risk: Low Exploitation Level: Requires Multisite Subsite Admin or higher level authentication. Vulnerability: Authenticated (Multisite Subsite Admin+) Arbitrary Code Execution CVE: CVE-2026-115251 Number of Installations: 1,000,000+ Affected Software: Duplicator ≤ 1.5.17 Patched Versions: 1.5.18⁩

שלבי הקלה: עדכן לגרסה ⁦Duplicator⁩ 1.5.18 ומעלה.

⁦Speed Optimizer⁩ – ⁦Authenticated⁩ (⁦Administrator+⁩) ⁦Stored Cross-Site Scripting⁩

⁦Security Risk: Low Exploitation Level: Requires Administrator or higher level authentication. Vulnerability: Authenticated (Administrator+) Stored Cross-Site Scripting CVE: CVE-2026-111737 Number of Installations: 1,000,000+ Affected Software: Speed Optimizer < 7.8.5 Patched Versions: 7.8.5⁩