מדריך פעולה: מה לבדוק באתר לאחר פרצת אבטחה ב-PHP

"מי שוב מנהל את ⁦PHP⁩ באתר שלנו?"

מאז שפרצו החדשות על הפגיעות ב-PHP ב-21 באוקטובר, אני מתאר לעצמי שלא מעט אנשים חשבו בדיוק את המחשבה הזו. האתר נבנה על ידי חברת הפקה. השרת נשכר על ידי אחראי קודם. מישהו בטח מטפל בעדכונים... אבל אם שואלים אותך "מי", אתה לא יכול לענות. דברים כאלה קורים, לא?

החדשות מלאות בז'רגון טכני, ורק הקריאה בהן מתישה. יתר על כן, החלק הקשה ביותר אינו הצד הטכני; זה שלא ברור "של מי האחריות למשימה הזו".

במאמר זה אארגן את מה שאתה צריך לבדוק באתר החברה שלך לאחר פגיעות ⁦PHP⁩ וכיצד לקבוע את "חלוקת האחריות" בין חברת השרתים, חברת ההפקה והחברה שלך. לבסוף, צירפתי טבלת חלוקת אחריות (שניתן להעתיק ולהשתמש), רשימת בדיקה בת 8 פריטים ותזכיר של 5 פריטים לבירורים.

תוכן זה עדכני החל מ-29 באוקטובר 2026.

מה קרה (סיכום)

ב-21 באוקטובר 2026, צוות הפיתוח של PHP פרסם תיקונים לשתי נקודות תורפה שעלולות לאפשר הרצת תוכניות בשרת ללא אימות. עליך לבדוק גם את ה-PHP שמריץ את ה-WordPress שלך (זהו סיכום המבוסס על מאמרי הסבר).

הגרסאות המתוקנות עבור כל ענף ⁦PHP⁩ הן כדלקמן:

• ענף 8.5: 8.5.12 • ענף 8.4: 8.4.27 • ענף 8.3: 8.3.36 • ענף 8.2: 8.2.35

התמיכה הסטנדרטית של המפתח בענף 8.1 ומעלה כבר הסתיימה.

מנקודה זו ואילך, התוכן מאורגן על ידי המחבר. סטטוס התגובות של חברות השרתים מתעדכן מדי יום. אנא הקפד לבדוק את ההנחיות הרשמיות של השירות שאתה מתקשר איתו.

"⁦PHP⁩" ו-"⁦WordPress⁩" הם דברים שונים

זו הנקודה שהכי קל להתעלם ממנה.

וורדפרס היא תוכנה לבניית אתרים. PHP הוא הבסיס שמפעיל את WordPress. גם אם העדכונים האוטומטיים עבור WordPress מופעלים, ליבת ה-PHP לא מתעדכנת אוטומטית. עדכון ערכות נושא או תוספים אינו מחליף את הצורך בתיקוני PHP.

במילים אחרות, אינך יכול פשוט לומר, "זה בסדר כי הגדרתי ⁦WordPress⁩ לעדכון אוטומטי."

מי מעדכן את ⁦PHP⁩?

מי מעדכן את ה-⁦PHP⁩ עבור האתר של החברה שלך תלוי באופן הפעלת האתר. בדרך כלל יש ארבעה דפוסים.

דפוס 1: אתה שוכר את השרת בעצמך

במקרים רבים, חברת השרתים תשלב את התיקונים. עם זאת, מערכות מסוימות דורשות ממך לבצע את החלפת הגרסה בעצמך. עליך לבדוק את ההנחיות מספק השירות שלך כדי לראות מה חל.

דפוס 2: אתה מפקיד את התחזוקה בחברת הפקה

האם עדכונים ⁦PHP⁩ כלולים בחוזה התחזוקה. זוהי נקודת המפנה. גם אם תסתכלו על החוזה, ייתכן שהיקף ה"אחזקה" אינו ברור.

דפוס 3: מנוהל בעצמך בשרת ⁦VPS⁩ או משלך

עליכם לעדכן את ה-OS וחבילות ה-PHP בעצמכם. הודעת "השלמת תגובה" מחברת השרתים אינה חלה בהכרח על השרת שלכם.

דפוס 4: אתה לא יודע מי מנהל את זה

למעשה, זה עשוי להיות המקרה הנפוץ ביותר. במקרה זה, המשימה הראשונה היא "למצוא את המנהל".

אתה לא יכול לשפוט לפי מספר הגרסה בלבד

ניתן לראות את הגרסה ⁦PHP⁩ של אתר האינטרנט של החברה שלך בלוח המחוונים ⁦WordPress⁩. אם תפתח את "⁦Tools⁩" -> "⁦Site Health⁩" -> "⁦Info⁩" -> "⁦Server⁩" בסדר זה, הגרסה ⁦PHP⁩ תופיע.

עם זאת, אינך יכול לשפוט אם הוא תוקן רק לפי המספר המוצג כאן. הסיבה לכך היא שייתכן שחברת השרתים שילבה את התיקון מבלי לשנות את המספר. לעומת זאת, גם אם כתוב "נתמך", עליך לוודא אם השירות שאתה משלם עבורו כלול בהיקף זה.

במילים אחרות, כדאי להסתכל על המספר וההודעה הרשמית של חברת השרתים יחד כדי לעשות שיקול דעת.

⁦Responsibility Distribution Table⁩ (ניתן להעתיק ולהשתמש)

נא לרשום "מי אחראי" עבור כל פריט.

עדכון PHP (יישום תיקונים): אחראי (חברת שרתים / חברת הפקה / פנימי / לא ידוע): תאריך ושיטת האישור:

עדכוני ליבת WordPress, ערכות נושא ותוספים: אחראי (חברת הפקה / פנימי / לא ידוע): תאריך ושיטת האישור:

גיבוי: אחראי, מיקום אחסון ותקופת שמירה:

פרטי התקשרות במקרה של חריגה: למי לפנות ודרך יצירת הקשר:

היקף חוזה האחזקה: האם זה כתוב בחוזה (כתוב / לא כתוב / לא ידוע):

הפריטים המסומנים "⁦Unknown⁩" הם האזורים שעליך לבדוק מעתה ואילך.

כיצד להמשיך עם אישור

יש שלושה שלבים. בדוק את גרסת ⁦PHP⁩ ב-⁦WordPress Site Health⁩. הצלב את מצב התיקון עם ההודעה הרשמית של חברת השרתים. אשר את חלוקת האחריות עם חברת ההפקה או איש האחזקה. אם מדובר בגרסה ישנה ⁦PHP⁩ כמו סדרת 8.1 או קודמתה, בצע גיבוי ותכנן את ההעברה.

⁦Inquiry Memo⁩ (ניתן להעתיק ולהשתמש)

אתה יכול לשאול את חברת ההפקה או חברת השרתים שלך ישירות.

מי מעדכן את ⁦PHP⁩ עבור האתר של החברה שלנו?

האם התיקון הנוכחי ⁦PHP⁩ כבר הוחל על האתר שלנו?

האם היקף חוזה התחזוקה שלנו כולל עדכונים של ⁦PHP⁩?

אם אנו משתמשים בגרסה ישנה של ⁦PHP⁩, אנא הודע לנו על לוח הזמנים ועלויות ההעברה.

אנא ספק את פרטי הקשר ואת השיטה לדיווח אם מתרחשות בעיות כלשהן.

⁦Confirmation Checklist⁩ (8 פריטים)

נא לרשום "בוצע", "עדיין לא", או "לא יודע" עבור כל אחד מהם.

□ 1. אני מכיר את ספק השרתים והמנהל של אתר החברה שלנו. □ 2. בדקתי את גרסת ה-PHP ב-Site Health. □ 3. בדקתי את מצב התיקון דרך ההודעה הרשמית של חברת השרתים. □ 4. אישרתי מי אחראי על עדכוני PHP מול חברת ההפקה או צוות התחזוקה. □ 5. בדקתי את היקף חוזה האחזקה בהסכם. □ 6. מתבצעים גיבויים. אני גם מכיר את הליך השחזור. □ 7. אישרתי אם אנו משתמשים בגרסה ישנה של PHP. □ 8. החלטתי על פרטי ההתקשרות לשימוש במקרה של בעיה.

זה בסדר להתחיל להשלים אותם לפי הסדר, החל מהפריטים המסומנים ב'עדיין לא' או 'לא יודע'.

⁦Frequently Asked Questions⁩

ש. אם הגרסה ב-Site Health ישנה, האם זה אומר שהיא לא נתמכת? ת. לא בהכרח. לעיתים משולבים תיקונים מבלי לשנות את מספר הגרסה. אנא בדוק זאת בשילוב עם ההנחיות הרשמיות של חברת השרתים.

ש. שמעתי שהתראה נוספת פורסמה ב-23 באוקטובר. ת. האתר הרשמי ⁦PHP⁩ פרסם הנחיות נוספות לתנאים ספציפיים. מכיוון שזה נפרד משתי הבעיות ב-21 באוקטובר, מומלץ לבדוק עם חברת השרתים או עם צוות התחזוקה שלך אם נדרשת פעולה.

תַקצִיר

החלק הבעייתי ביותר בחדשות על פגיעות ⁦PHP⁩ אינו הפרטים הטכניים, אלא העובדה שלא ברור 'מי אחראי'. ⁦WordPress⁩ ו-⁦PHP⁩ הם דברים שונים. גם האדם שמעדכן אותם עשוי להיות שונה.

ראשית, נסה לרשום רק את השורה הראשונה בטבלת חלוקת האחריות: 'מי אחראי לעדכונים ⁦PHP⁩?'. אם אתה לא יודע, '⁦Unknown⁩' זה בסדר. זה יהיה הצעד הראשון שלך.

זה נורמלי להיתקל בדברים שאינך יודע בעבודה בתחום ה-IT. אם תארגן אותם אחד אחד, תתקדם כמו שצריך. אשמח אם מאמר זה יהיה הצעד הראשון שלך.

* מאמר זה הוא קבוצה של פריטי אישור שנוצרו על ידי המחבר בהתבסס על מידע זמין לציבור ומאמרי הסבר. סטטוס התגובה של כל חברת שרתים מתעדכן מדי יום. לפני נקיטת פעולה ממשית, אנא בדוק את ההנחיות הרשמיות של השירות איתו אתה מתקשר.

מקורות: ・WordPress Theme TCD 'שתי פגיעויות PHP דחופות | נהלי אישור WordPress ותגובות חברות שרתים' https://tcd-theme.com/2026/10/php-security-2026-10.html ・PHP 'התראת אבטחה רשמית (21 באוקטובר 2026)' https://www.php.net/archive/2026.php#2026-10-21-5