עדכון החירום ב-PHP: מה בעלי אתרי WordPress חייבים לדעת

בסוף אוקטובר 2026 התגלתה פגיעות קריטית ב-PHP, שפת התכנות שפועלת מאחורי הקלעים של אתרי אינטרנט ו-WordPress, ושוחררה עבורה גרסת תיקון. רבים מכם אולי ראו זאת בחדשות ותהו: "האם האתר שלי בטוח?"

במאמר זה אפרק את המצב בצורה רגועה ואסביר שכאשר מנהלים אתר WordPress, ישנם חלקים שאינכם יכולים לתקן בעצמכם. אין לי כוונה לעורר בהלה. אם יודעים מה לבדוק, אין צורך לדאוג יותר מהדרוש.

מה קרה

יומן השינויים באתר הרשמי של PHP מציין שהגרסה החדשה, PHP 8.5.12, כוללת תיקוני אבטחה לבעיות כמו שחיתות במצב הפנימי (internal state corruption).

מאמרי הסבר ודוחות רבים העבירו את הדברים הבאים:

• שתי פגיעויות (⁦CVE-2026-109618⁩, ⁦CVE-2026-109619⁩) תוקנו

• מוסבר שקיימת אפשרות להרצת קוד על השרת מבחוץ ללא צורך בהתחברות

• הגרסאות המתוקנות הן ⁦PHP⁩ 8.5.12, 8.4.27, 8.3.36 ו-8.2.35

• דווח כי תעבורה שניסתה לנצל זאת נצפתה עוד לפני הפרסום לציבור

שימו לב כי המאמרים שבדקתי לא ציינו דוגמאות ספציפיות לפריצות מוצלחות. עם זאת, מכיוון שהמצב עשוי להשתנות, אנא עיינו באתר הרשמי או בהנחיות של חברת האחסון שלכם לקבלת המידע העדכני ביותר.

מהם החלקים שאתה "לא יכול לתקן בעצמך"?

כשמדובר ב-WordPress, אנשים נוטים לחשוב שכל עוד הליבה, התוספים והערכות הנושא מעודכנים, האתר בטוח. עם זאת, לא ניתן לתקן בעיה זו באמצעות עדכון של אף אחד מאלה. מאמרי ההסבר מציינים גם כי התיקון יכול להתבצע רק על ידי עדכון ה-PHP עצמו.

⁦PHP⁩ נמצא בצד השרת שבו פועל ⁦WordPress⁩. במילים אחרות, הקשר הוא כדלקמן:

• עדכונים שניתן לבצע מלוח הבקרה של האתר: ליבה, תוספים, ערכות נושא

• עדכונים שבוצעו בצד השרת: ⁦PHP⁩

לדוגמה, בשרתים משותפים, עדכוני PHP מבוצעים בדרך כלל באופן סדרתי על ידי חברת האחסון או מוחלפים על ידי בעל האתר דרך לוח הבקרה. חשוב לציין שמהירות ושיטת התגובה משתנות בהתאם לחברת האחסון. המשמעות היא שגם אם אתם מנהלים את האתר שלכם בקפידה, ישנם חלקים שיושפעו אם העדכונים בצד השרת יתעכבו.

מה אתה יכול לבדוק בעצמך

אז מה יכולים מפעילי האתר לעשות? אנא הישאר רגוע ובדוק את שלושת הדברים הבאים.

1. בדוק את הגרסה של ⁦PHP⁩ שבה אתה משתמש

בלוח הבקרה של WordPress, פתחו את "Site Health" תחת "Tools" והסתכלו בפריט "Server" בלשונית "Info" כדי לראות את גרסת ה-PHP. עם זאת, חברות אחסון מסוימות עשויות להחיל תיקוני אבטחה מבלי לשנות את מספר הגרסה. גם אם המספר נראה ישן, אין זה בהכרח אומר שהשרת לא עודכן.

2. בדוק אם יש הודעות מחברת האחסון שלך

חלק מחברות האחסון פרסמו הנחיות בנושא. ההודעות מציינות אם הבעיה כבר טופלה או אם נדרשת פעולה מצידכם, לכן הקפידו לבדוק זאת.

3. דע את 'תוחלת החיים' של הגרסה ⁦PHP⁩ שלך

לגרסאות ⁦PHP⁩ יש תקופה שבה הן מקבלות תיקוני אבטחה. האתר הרשמי של ⁦PHP⁩ מספק את ההדרכה הבאה:

בנוסף, גרסה 8.1 אינה מופיעה כרגע בין הגרסאות הנתמכות. אם תמשיכו להשתמש בגרסה ישנה, ייתכן שתיקונים מסוג זה לא יסופקו כלל. דיווחים מצביעים גם על כך שגרסאות שלפני 8.1 יושפעו מהפגיעות אלא אם חברת האחסון או ספק דומה נקטו באמצעים עצמאיים.

הנחת היסוד של עדכונים מתמשכים

מה שהאירוע הזה מדגיש הוא שניהול WordPress מבוסס על תפיסה של 'עדכונים מתמשכים'. תוכנת הליבה, התוספים, ערכות הנושא וה-PHP – אם אחד מאלה מפסיק להתעדכן, הוא הופך לנקודת תורפה.

בסביבה שבה עדכונים מתוחזקים היטב, זו אינה בעיה. לעומת זאת, במצבים שבהם האחראי עסוק או שאבד הקשר עם חברת הפיתוח, העדכונים נוטים להיפסק.

לכן, אפשרות אחת שכדאי לשקול היא הפיכת האתר ל'אתר סטטי'. אתר סטטי הוא מנגנון שמגיש דפים מוכנים מראש כפי שהם, מה שמאפשר קונפיגורציה שאינה דורשת הרצת תוכנות כמו PHP על השרת. אם אינכם משתמשים ב-PHP, פגיעויות ב-PHP כמו זו כבר לא יהוו דאגה ישירה. עם זאת, אף מנגנון אינו נטול סיכונים לחלוטין. המושגים מאחורי אתרים סטטיים והתאמתם יוצגו בפירוט במאמר נוסף בסדרה זו.

תַקצִיר

• לא ניתן לתקן פגיעות PHP זו על ידי עדכון הליבה של WordPress, תוספים או ערכות נושא

• ראשית, בדקו את גרסת ה-PHP שלכם ואת ההנחיות של חברת האחסון שלכם

• לגרסאות ⁦PHP⁩ יש תוחלת חיים, ואם הן נשארות ישנות, ייתכן שלא יסופקו תיקונים

החברה שלנו (Unir LLC) מספקת את 'Unista', שירות הממיר אתרים הבנויים על WordPress או PHP לאתרים סטטיים. המרה יכולה בדרך כלל להתבצע תוך שמירה על העיצוב וה-URL המקוריים. גם אם אתם רק בשלב של בדיקת התאמת האתר להמרה סטטית, אתם יכולים להשתמש בשירות אבחון ה-URL החינמי שלנו.

לחצו כאן לפרטים על Unista ועל שירות אבחון ה-URL החינמי

• ⁦PHP⁩ ⁦Official Website Change Log⁩ (⁦PHP⁩ 8.5.12): ⁦https://www.php.net/ChangeLog-8.php⁩

• ⁦PHP⁩ ⁦Official Website Supported Versions⁩: ⁦https://www.php.net/supported-versions.php⁩

• Codeable "עדכון אבטחה ל-PHP ב-21 באוקטובר 2026: מה בעלי אתרי WordPress צריכים לעשות": https://www.codeable.io/blog/php-vulnerability-cve-2026-109618/

• Help Net Security "PHP2Shell: פגיעויות קריטיות ב-PHP תוקנו, עדכנו עכשיו!": https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/