נכתב בתאריך 22 באוקטובר 2026
לפני שמתחילים
עדכון אבטחה PHP וורדפרס הוא פעולה קריטית שנדרשת השבוע מכל בעל אתר, בעקבות גילוי צמד פרצות חמורות בשם PHP2Shell המאפשרות לתוקפים להשתלט על שרתים מרחוק ללא צורך בסיסמה. מכיוון שהפרצה קיימת בשפת השרת עצמה, עדכון שגרתי של וורדפרס או תוספים אינו פותר את הבעיה.
האם אתם רגילים להיכנס ללוח הבקרה של וורדפרס, ללחוץ על כפתור העדכון של התוספים והמערכת, ולהרגיש שהאתר שלכם מוגן לגמרי? ברוב המקרים זו שגרה מעולה, אבל השבוע הכללים השתנו לחלוטין.
ב-21 באוקטובר 2026 נחשפה פרצת אבטחה עצומה בשפת השרת PHP, שמאיימת ישירות על מיליוני אתרי וורדפרס ברחבי העולם (במקביל לדיווחים מטרידים על חולשות בתוספים מוכרים כמו UpdraftPlus). מהניסיון שלנו ב-Smart Design, רוב בעלי האתרים בטוחים שהאתר שלהם מוגן כי הכל מעודכן באזור הניהול.
הפעם זו אשליה מסוכנת. הבעיה לא נמצאת בתוך וורדפרס, אלא במנוע שמריץ אותה מאחורי הקלעים בשרת האחסון שלכם.
מהי פרצת PHP2Shell ולמה מדובר באירוע חירום עולמי?
ב-21 באוקטובר 2026 שחרר צוות הפיתוח של שפת PHP עדכון חירום בעקבות גילוי שתי פרצות אבטחה קריטיות, שקיבלו את השם המשותף PHP2Shell (מזוהות רשמית כ-CVE-2026-109618 ו-CVE-2026-109619). החולשות הללו מדורגות בציון חומרה קיצוני של 9.2 מתוך 10.
הפרצות התגלו בסיוע מודל בינה מלאכותית מתקדם בשיתוף חוקרי אבטחה מחברות כמו גוגל, OpenAI ו-Wiz. כדי לתקן את הכשל, המפתחים נאלצו לשכתב למעלה מ-10,000 שורות קוד ב-200 קבצים שונים.
בפועל, זו בעיה בניהול הזיכרון של השרת, בין היתר סביב תכונה שמנטרת העלאת קבצים. הכשל הזה מאפשר להאקרים להריץ קוד זדוני מרחוק בלי שם משתמש או סיסמה, להשתלט לגמרי על השרת, ולגנוב את כל מסד הנתונים של האתר שלכם.
למה עדכון של וורדפרס או התוספים לא יעזור הפעם?
כאשר מתגלה פרצה בתוסף מוכר (כמו שקרה לאחרונה עם תוסף הגיבוי UpdraftPlus), הפתרון פשוט – נכנסים ללוח הבקרה של וורדפרס ומעדכנים את התוסף. במקרה של PHP2Shell המצב אחר לגמרי.
כל פלטפורמה לבניית אתרים יושבת על תשתית שרת. מערכת וורדפרס, שמפעילה כיום כ-43% מכלל האתרים בעולם, בנויה על שפת הקוד PHP (שמניעה עד 75% מהאתרים ברשת לפי נתוני W3Techs מאוקטובר 2026).
ארגון WordPress.org וחוקרי אבטחה מובילים מדגישים: הכשל הנוכחי לא נמצא בקוד של וורדפרס, אלא במנוע של שפת ה-PHP עצמו שמותקן בשרת האחסון. לכן, גם אם וורדפרס וכל התוספים שלכם מעודכנים לגרסה האחרונה ביותר, הדלת האחורית בשרת נשארת פתוחה לרווחה.
המספרים שמאחורי האיום: מי נמצא בסיכון גבוה?
סריקות רשת שביצעה מערכת VirusTotal באוקטובר 2026 חושפות תמונת מצב מדאיגה מאוד. בעולם קיימות כ-5.1 מיליון כתובות IP שמריצות PHP, ומתוכן כ-3.8 מיליון חשופות לחלוטין לרשת עם פורטים פתוחים.
הנתון המפחיד באמת נוגע לאתרים וותיקים: כ-758,000 שרתים מריצים גרסאות PHP ישנות (בין גרסה 5.4 לגרסה 8.1) שכבר הגיעו לסוף חייהן (End-of-Life). גרסאות אלו אינן מקבלות עדכוני אבטחה רשמיים מפרויקט שפת PHP הרשמית.
אם האתר שלכם יושב על גרסה כזו, אתם נמצאים בסיכון כפול. במסגרת הגנת סייבר ואבטחת אתרי אינטרנט, השארת אתר על גרסת שרת שלא נתמכת יותר היא הזמנה פתוחה לתוקפים שמשתמשים בכלי בינה מלאכותית כדי לסרוק ולפרוץ שרתים אוטומטית.
הפתרון המעשי: איך בודקים את האתר ומתקנים את הפרצה?
במקום להיכנס לפאניקה, צריך לפעול בצורה מסודרת. רוב המדריכים ברשת יגידו לכם פשוט "להחליף גרסת PHP בפאנל הניהול", אבל מול פרצת PHP2Shell זה ממש לא מספיק. הנה תוכנית הפעולה המדויקת שבנינו עבור לקוחותינו.
שלב 1: בדקו באיזו גרסת PHP האתר שלכם פועל כרגע
אתם לא צריכים גישה לשרת כדי לדעת מה המצב שלכם. היכנסו ללוח הבקרה של אתר הוורדפרס שלכם ובצעו את הפעולות הבאות:
- בתפריט הצדדי, לחצו על כלים (Tools) ואז על בריאות האתר (Site Health).
- בחלק העליון של המסך, עברו ללשונית מידע (Info).
- פתחו את הלשונית שנקראת שרת (Server).
- חפשו את השורה גרסת PHP (PHP version) ורשמו לעצמכם את המספר המדויק שמופיע שם (כולל הנקודות, למשל 8.2.15).
שלב 2: השוו את הגרסה שלכם לרשימת הגרסאות הבטוחות
עדכון החירום ששוחרר ב-21 באוקטובר 2026 נמצא אך ורק בגרסאות הספציפיות הבאות. בדקו היכן האתר שלכם עומד:
שלב 3: רשימת הדרישות המדויקת מול חברת האחסון שלכם
וידוא אבטחת השרת הוא בסיס קריטי לפני כל מחשבה על עיצוב ופיתוח אתרים או שיווק. אל תסתפקו בשינוי גרסה עצמאי בפאנל האחסון (כמו cPanel), כי ייתכן שחברת האחסון עדיין לא עדכנה את תת-הגרסה המדויקת בשרת שלה.
פתחו קריאת שירות דחופה מול תמיכת האחסון שלכם ושלחו להם את הצ'קליסט הבא:
צ'קליסט דרישות למחלקת התמיכה באחסון:
session.upload_progress.enabled = Off בקובץ php.ini).
מתי אפשר להסתדר לבד ומתי חובה לפנות לאיש מקצוע?
אם האתר שלכם כבר פועל על גרסת PHP 8.2 או 8.3, וחברת האחסון שלכם רצינית ומעדכנת את השרתים שלה אוטומטית לתתי-הגרסאות החדשות, אתם יכולים להיות רגועים. שיחת טלפון קצרה או הודעה לתמיכה כדי לוודא שהעדכון מאוקטובר 2026 הוטמע תסגור לכם את הפינה.
הבעיה מתחילה באתרים שעדיין פועלים על גרסאות ישנות כמו PHP 7.4 או 8.0. קפיצה חדה מגרסה ישנה לגרסה 8.2 ומעלה עלולה לשבור תוספים ישנים, לפגוע בתבנית העיצוב ואפילו להפיל את האתר לגמרי (מסך לבן).
במצב כזה, אל תבצעו את השדרוג לבד באתר החי. פנו אל חברה מומלצת לבניית אתרים או למתכנת מנוסה. איש מקצוע יקים עבורכם סביבת בדיקות (Staging), יבצע שם את שדרוג ה-PHP, יתקן את שגיאות הקוד שנוצרו בתוספים, ורק אז יעביר את האתר המשודרג והמוגן לאוויר בצורה חלקה.
זכרו שפריצה לאתר עסקי לא רק משביתה את הפעילות, אלא עלולה להוביל להשתלת קישורי ספאם, פגיעה קשה במוניטין העסקי ולמצב שבו תזדקקו לשירותי דחיקת תוצאות שליליות בגוגל או להשקיע משאבים יקרים בשיקום אסטרטגיות קידום אתרים שנפגעו. טיפול מונע היום יחסוך לכם נזק עצום מחר.
המלצת המומחה: צוות Smart Design
"מה שאנחנו רואים שוב ושוב אצל בעלי עסקים הוא תחושת ביטחון מוטעית בגלל שהאתר נראה תקין מבחוץ. פרצת PHP2Shell מחייבת בדיקה מיידית. אנחנו ממליצים לכל בעל אתר לא להניח שחברת האחסון עשתה את שלה, אלא לבדוק עוד היום את לשונית 'בריאות האתר' בוורדפרס. אם אתם רואים שם גרסת PHP שמתחילה ב-7 או ב-8.1, אל תחכו אפילו יום אחד.
פנו לאחסון או למפתח שלכם כדי לתכנן שדרוג מבוקר. בעידן שבו בוטים מבוססי AI סורקים את הרשת כל דקה, תגובה מהירה היא ההבדל בין עסק שעובד שקט לעסק שמשותק בגלל מתקפת כופר."
שאלות נפוצות
איך מעדכנים גרסת PHP באתר וורדפרס?
עדכון גרסת PHP אינו מתבצע מתוך לוח הבקרה של וורדפרס, אלא דרך פאנל הניהול של חברת האחסון שלכם (כגון cPanel, DirectAdmin או ממשק ניהול ייעודי של החברה). יש להיכנס להגדרות ה-PHP בשרת, לבחור בגרסה עדכנית ובטוחה (כיום מומלץ לבחור ב-8.2.35 ומעלה או 8.3.36), ולשמור את השינויים. מומלץ מאוד לבצע גיבוי מלא לאתר לפני השינוי.
מה הקשר בין גרסת ה-PHP לאבטחת אתר וורדפרס?
שפת PHP היא המנוע שעליו בנויה ופועלת מערכת וורדפרס. כאשר מתגלה פרצת אבטחה בשפת ה-PHP עצמה (כמו פרצת PHP2Shell), תוקפים יכולים לעקוף לחלוטין את מנגנוני ההגנה של וורדפרס ולהשתלט ישירות על השרת. לכן, שימוש בגרסת PHP מעודכנת שמקבלת טלאי אבטחה שוטפים הוא תנאי בסיסי להגנה על האתר.
איך בודקים אם אתר הוורדפרס שלי חשוף לפרצת האבטחה ב-PHP?
היכנסו ללוח הבקרה של וורדפרס, גשו אל 'כלים' > 'בריאות האתר', עברו ללשונית 'מידע' ופתחו את סעיף 'שרת'. שם תראו את מספר גרסת ה-PHP המדויק. אם המספר נמוך מהגרסאות שתוקנו ב-21 באוקטובר 2026 (שהן 8.2.35, 8.3.36, 8.4.27 או 8.5.12), האתר שלכם חשוף ויש לפנות לחברת האחסון לעדכון מיידי.
למה עדכון של מערכת וורדפרס והתוספים לא מגן מפני פרצות ב-PHP?
מערכת וורדפרס והתוספים הם תוכנות שרצות מעל תשתית השרת. פרצות ב-PHP מתרחשות ברמת תשתית השרת עצמו (במקרה הנוכחי, בניהול הזיכרון של השרת). עדכון של וורדפרס מתקן רק קבצים שקשורים לוורדפרס, אך אינו יכול לשנות או לעדכן את תוכנת השרת של חברת האחסון.
מה צריך לבקש מחברת האחסון כדי להגן על האתר מפרצת אבטחה בשרת?
יש לדרוש מחברת האחסון לעדכן את שרת ה-PHP לתתי-הגרסאות המתוקנות (למשל 8.2.35 או 8.3.36) ולבצע אתחול (Restart) לשירות ה-PHP כדי שהעדכון ייכנס לתוקף. אם השדרוג מתעכב, יש לדרוש הפעלת חוקי חסימה בחומת האש (WAF) וכיבוי של הגדרת session.upload_progress.enabled בקובץ השרת.
מה יקרה לאתר הוורדפרס שלי אם אשתמש בגרסת PHP מיושנת שלא מקבלת עדכוני אבטחה?
שימוש בגרסה שהגיעה לסוף חייה (כגון PHP 8.1 ומטה) משאיר את האתר חשוף לחלוטין לפרצות מוכרות שהאקרים יודעים לנצל בקלות באמצעות סורקים אוטומטיים. ללא טלאי אבטחה מיוחד מחברת האחסון, תוקפים יכולים להריץ קוד מרחוק, למחוק את האתר, לגנוב מידע רגיש של לקוחות או להשתמש בשרת שלכם להפצת מתקפות סייבר.
איך מתקנים תקלות באתר וורדפרס שנוצרו בעקבות שדרוג גרסת PHP?
אם האתר נשבר או מציג שגיאות לאחר שדרוג PHP, הסיבה היא לרוב תוסף או תבנית מיושנים שהקוד שלהם אינו תואם לגרסת ה-PHP החדשה. בשלב ראשון ניתן להחזיר זמנית את גרסת ה-PHP לאחור בפאנל האחסון, ולאחר מכן להיעזר במפתח אתרים שיעדכן או יחליף את התוספים הבעייתיים בסביבת בדיקות נפרדת לפני ביצוע השדרוג מחדש.
השורה התחתונה
פרצת PHP2Shell היא תזכורת כואבת לכך שתחזוקת אתר וורדפרס לא מסתכמת רק בלחיצה על כפתור העדכון בלוח הבקרה. כאשר הבסיס שעליו יושב האתר חשוף, שום תוסף אבטחה פנימי לא יוכל לעצור השתלטות מרחוק על השרת.
היכנסו עוד היום לבדוק את גרסת ה-PHP שלכם, שלחו את רשימת הדרישות לחברת האחסון, וודאו שהאתר שלכם פועל על אחת הגרסאות הבטוחות. ואם אתם זקוקים לסיוע מקצועי בשדרוג אתר וותיק מבלי לשבור אותו, הצוות שלנו ב-Smart Design כאן כדי לעזור לכם לעבור את העדכון בשלום ובביטחון מלא.
