איך להגן על אתר ה-WordPress שלך מפני פרצות מסוג PHP2Shell?

אושר ב-1 בנובמבר 2026. תמונת הכותרת היא איור שנוצר על ידי AI למטרות הסבר ואינה תוצאת אבחון ממשית.

"PHP2Shell", שעלה לכותרות גם בהקשר של גילוי פגיעויות בעזרת AI.

כשאתה מפעיל בלוג ב-⁦WordPress⁩, אתה עשוי לתהות, "האם זה משפיע על האתר שלי?" או "האם זה מספיק פשוט ללחוץ על כפתור העדכון?"

הדבר הראשון שיש לבדוק הוא השירות שאליו אתה מנוי, גרסת ה-PHP הפועלת עליו והנחיות ספק השירות. עדכון הליבה של WordPress בלבד אינו משלים בדיקה זו.

במאמר זה אסכם את סדר הפעולות לבדיקה ואציע תבנית פנייה לבעלי בלוגים אישיים. מאמר זה אינו דוח המאמת נזק או רמת אבטחה בבלוג הפרטי שלך.

לאיזה חלק של ⁦WordPress⁩ קשור ⁦PHP2Shell⁩?

PHP הוא אחד מיסודות ההפעלה של WordPress. הוא מנוהל בצד השרת, בנפרד מליבת WordPress, מערכות הנושא והתוספים. מדריך העדכונים הרשמי של WordPress ל-PHP מסביר גם הוא הבחנה זו.

פגיעות (Vulnerability) היא חולשה בתוכנה שעלולה להיות מנוצלת להתקפות. PHP2Shell הוא השם שניתן לשתי פגיעויות בליבת PHP. מספרי הזיהוי שלהן הם "CVE-2026-109618" ו-"CVE-2026-109619". אם ינוצלו, קיימת אפשרות לביצוע קוד מרחוק (RCE) ללא אימות. ניתן לעיין בסקירה הכללית בהתראת האבטחה של ה-IPA.

בעדכון שלו מ-27 באוקטובר, ה-⁦IPA⁩ דיווח כי שתי הפגיעויות הללו נוספו לקטלוג ⁦CISA⁩ (⁦U.S⁩. ⁦Cybersecurity Agency⁩) ⁦KEV⁩ כחולשות מנוצלות. אל תתעלם מכך כאפשרות בלבד; בדוק את התגובה מספק השירות שלך.

לכן, אינך יכול להניח ש-PHP תוקן רק בגלל ש"עדכנת את WordPress" או "התקנת תוסף אבטחה". עליך לאמת את התגובה מול הגורם המנהל את ה-PHP. הנחיות חוקרים קוראות גם לעדכן את ה-PHP עצמו ולוודא שהעדכון מוחל בתהליכים הפועלים כעת.

⁦AI⁩ היה מעורב בגילוי. אבל זה לא משהו שאפשר להשאיר לגמרי ל-⁦AI⁩ לתקן.

בהודעתה מ-21 באוקטובר, הסבירה OpenAI כי Calif השתמשה ב-GPT-5.6 Sol כדי לזהות את הבעיה הקריטית, וכי חברת Wiz גילתה ודיווחה עליה באופן עצמאי. התיקון והשחרור הובלו על ידי מתחזקי PHP. להודעה של OpenAI

תיעוד החקירה של Calif מציין גם כי היה להם ידע על פגיעויות עבר והשערות לגבי המקומות שבהם עשויות להימצא בעיות. לתיעוד החקירה של Calif

מהחדשות האלה, אנחנו לא יכולים לומר ש"⁦AI⁩ יתקן הכל אם רק תבקש". יש תפקיד לכולם: ה-⁦AI⁩ שעוזר בגילוי, האנשים שיוצרים את התיקון, האנשים שמחילים אותו על השרת והמפעילים שמאמתים אותו.

1. ראשית, אשר את ספק השירות ואת שם השירות שלך.

אפילו בתוך אותה חברה, האדם האחראי על ניהול ⁦PHP⁩ עשוי להיות שונה בין אירוח משותף לבין ⁦VPS⁩ (⁦Virtual Private Server⁩). אשר לא רק את שם החברה, אלא את שם השירות הספציפי אליו אתה מנוי.

לדוגמה, Xserver הסבירה בהודעה רשמית שאושרה ב-1 בנובמבר כי השלימה את הטיפול בשירותי האירוח המשותפים הרלוונטיים עד השעה 6:20 בבוקר ב-26 באוקטובר. החברה ציינה כי גרסאות PHP 8.2–8.5 עודכנו לגרסאות מתוקנות באותה סדרה, ועבור גרסאות PHP 5.1–8.1, הוחל טלאי (Patch) ללא שינוי גרסה.

באותה הודעה צוין כי משתמשי שירותי האירוח המשותפים הרלוונטיים אינם צריכים למהר לשנות את גרסת ה-PHP שלהם עבור אמצעי זה. מצד שני, הוסבר כי שירותי ה-VPS הרלוונטיים מנוהלים על ידי המשתמשים עצמם, ולכן החברה לא החילה עליהם טלאים. להודעה הרשמית של Xserver

זוהי הדרכה לגבי השירותים הספציפיים של אותה חברה. אל תחיל אותו ישירות על ספק שירות אחר.

WordPress.com מספק גם הנחיות לגבי הגנה לאתרים המתארחים בפלטפורמה שלהם. אתר ⁦WordPress⁩ שהתקנת בעצמך בשרת של חברה אחרת אינו מכוסה בהנחיה זו. הדרכה של WordPress.com

2. בדוק את גירסת ⁦PHP⁩ שבה אתה משתמש ואת הסטטוס של יישום התיקון

בלוח המחוונים ⁦WordPress⁩, אתה יכול בדרך כלל לבדוק את גרסת ⁦PHP⁩ על ידי ביצוע השלבים הבאים:

כלים → ⁦Site Health⁩ → ⁦Info⁩ → ⁦Server⁩ → גרסה ⁦PHP⁩

נתיב זה מפורט בתיעוד הרשמי של WordPress. אם הפריט לא מופיע על המסך, בדוק דרך לוח הבקרה של השרת שלך או פנה לתמיכה.

הגרסאות המתוקנות הראשוניות עבור שתי הפגיעויות שהוכרזו על ידי ⁦PHP⁩ ב-21 באוקטובר הן כדלקמן:

מקור: הודעת אבטחה רשמית ⁦PHP⁩

זו אינה טבלה של "הגרסאות העדכניות ביותר" ואין בה ערובה לכך ש"כל סביבה עם מספר זה היא בטוחה". מכיוון שספקים עשויים לבצע Backport לתיקונים בגרסאות ישנות יותר, יש לאמת את מספר הגרסה מול סטטוס היישום הרשמי.

בנוסף, ב-23 באוקטובר, צוות PHP פרסם מידע מייעץ נוסף לגבי שילובים ספציפיים של הגדרות ויישומים. קיימת הצעה להשבית את תכונת ה-session upload progress, אך הנחיה זו כפופה לתנאי יישום ספציפיים. למידע נוסף מהאתר הרשמי של PHP

במקום להעתיק ולשנות הגדרות מבלי להבין אותן, אנא אשר עם ספק השירות או המנהל שלך אם אתה מושפע, כולל הדרכה נוספת זו.

3. אשר עם מנהל המערכת שלך מה צריך לעשות כדי להשלים את התהליך

אם אתה מנהל את השרת שלך בעצמך, אינך יכול להסתפק בהתקנת הגרסה המתוקנת; עליך לוודא שהתיקון מוחל על תהליך ה-PHP הפועל. חוקרים ממליצים להפעיל מחדש את Apache, PHP-FPM וכל תהליכי PHP שרצים לאורך זמן. לגבי החלת השינויים לאחר עדכונים

אם אתה משתמש בשרת להשכרה, תחילה בדוק כמה הספק כבר הטמיע. זו לא המלצה גורפת לעצור את הבלוג שלך או להפעיל מחדש את השרת כולו.

בעת ביצוע בירורים, תוכל לשכתב את הטקסט הבא כך שיתאים לפרטי החוזה שלך. זוהי דוגמה לתבנית חקירה שהוכנה עבור מאמר זה.

שמור את הטקסט המקורי כפי שהוא, שכן הוא תבנית פנייה טכנית ביפנית לספק שירות (השתמש בטקסט זה במידת הצורך מול הספק שלך).

בצע בירורים דרך הערוצים הרשמיים של ספק השירות שלך. חשוב לא לראות בשרת שלך "מאובטח" רק על סמך סיכומי חדשות או תגובות ⁦AI⁩.

אם יש צורך בעדכונים, בדוק גם גיבויים ותאימות

אם עליך להחליף גרסאות PHP, בדוק גם את התאימות לערכות הנושא ולתוספים שבהם אתה משתמש. האתר הרשמי של WordPress מספק הנחיות בנושא גיבויים ובדיקות תאימות לפני ביצוע עדכון. לרשימת הבדיקה של WordPress לפני עדכון

זה לא כדי לעכב תיקונים דחופים, אלא כדי להתכונן להתייעצות עם הספק שלך כדי להמשיך בצעדי אבטחה ואימות תפעולי.

הבחנה בין אמצעי הפחתה זמניים לבין עדכונים שמתקנים נקודות תורפה. הצוות הרשמי של ⁦PHP⁩ קובע שהגדרות שמצמצמות רק כמה וקטורים להתקפה אינן פתרון מלא. ⁦PHP⁩ הנחיות אבטחה למפתחים

בקש מ-⁦AI⁩ לעזור לך לקרוא הודעות

אם אתה משתמש ב-⁦AI⁩, תוכל להשתמש בו כדי לעזור לפרש הודעות פומביות מספק השירות שלך. לדוגמה, אתה יכול להגיש את הבקשה הבאה:

אמת את הסיכום של ⁦AI⁩ מול ההודעה המקורית. אין צורך לספק סיסמאות או מידע חיבור כדי להחליט.

לבסוף, רישום של התאריך שנבדק, ההודעה ⁦URL⁩, תגובת הספק והשלבים הבאים יקלו על הסתכלות אחורה מאוחר יותר.

• ספק שירות/שם שירות מדויק: ____

• גרסת PHP והנחיות להחלת טלאים: ____

• תאריך בדיקה/URL של הודעה רשמית: ____

• משימות הנדרשות ממני ומאיש הקשר: ____

התחל על ידי אישור שם השירות שלך בחוזה ופתיחת ההודעה הרשמית האחרונה עבור שירות זה. בוא נחבר חדשות ⁦AI⁩ לעבודת אימות הבלוג שלך.

מאמר זה מבוסס על מידע ציבורי שאושר החל מ-1 בנובמבר 2026. מכיוון ששירותי היעד וסטטוסי התגובה מתעדכנים, אנא בדוק את ההנחיות העדכניות ביותר מהספק שלך בעת ביצוע העבודה. זה לא מהווה חקירת הפרה או אבחון אבטחה של אתרים בודדים.