מה קרה?
PHP היא שפת התכנות שרצה על השרת ומפעילה את רוב האתרים באינטרנט, ובהם אתרי הוורדפרס. ב-21 באוקטובר 2026 פורסמו שתי חולשות אבטחה חמורות ב-PHP (CVE-2026-109618 ו-CVE-2026-109619), שמכונות יחד PHP2Shell.
החולשות מאפשרות לתוקף להריץ קוד על השרת של האתר בלי להתחבר אליו. בפועל, זה יכול להוביל להשתלטות על האתר, לגניבת מידע או להפצת תוכנות זדוניות דרכו.
- הפרצה משפיעה על גרסאות PHP רבות, כולל ישנות מאוד.
- לפי דיווחי חברות אבטחה, זוהו ניסיונות ניצול עוד לפני הפרסום הרשמי, ופרטי החולשות דלפו יום קודם.
- חוקרי האבטחה שחשפו את הפרצה השתמשו בכלי בינה מלאכותית בעבודתם.
חברת האחסון שלי עדכנה. אז אני מוגן?
לא בהכרח, וכאן נמצא הקאץ'. חברת האחסון מעדכנת את השרת, אבל כל אתר מוגדר לרוץ על גרסת PHP מסוימת שנבחרה כשנבנה. התיקון הרשמי שוחרר רק לענפים הנתמכים, ולא מספיק שהגרסה היא "8.2", צריך שהיא תהיה לפחות הגרסה המתוקנת.
| ענף PHP | גרסה מתוקנת | מצב |
|---|---|---|
| 8.5 | 8.5.12 ומעלה | קיבל תיקון רשמי |
| 8.4 | 8.4.27 ומעלה | קיבל תיקון רשמי |
| 8.3 | 8.3.36 ומעלה | קיבל תיקון רשמי |
| 8.2 | 8.2.35 ומעלה | קיבל תיקון רשמי |
| 8.1, 8.0, 7.4 ומטה | אין גרסה רשמית | אין תיקון רשמי מ-PHP. חלק מספקי האחסון מפיצים תיקונים משלהם, ולכן צריך לברר מול החברה |
את המעבר לגרסה חדשה חברת האחסון בדרך כלל לא תעשה בשבילכם, כי הוא עלול לשבור את האתר. האחריות היא של בעל האתר או של מי שמתחזק אותו.
איך בודקים על איזו גרסה האתר רץ?
- לשאול את מי שבנה או מתחזק את האתר: "על איזו גרסת PHP האתר רץ?". אם התשובה היא "לא יודע", זו כבר תשובה.
- מתוך ממשק הוורדפרס: כלים, בריאות האתר, מידע, שרת. שם מופיעה גרסת ה-PHP.
- מתוך לוח הבקרה של חברת האחסון: ברוב החברות יש הגדרה של גרסת PHP לכל אתר.
התוצאה: גרסה מתוקנת מהטבלה, ואתם בסדר מבחינת הפרצה הזו. גרסה נמוכה יותר, או גרסה שלא ברור אם עודכנה, דורשת טיפול בהקדם.
לא בטוחים או לא מצליחים לבדוק?
שלחו לנו את כתובת האתר ונעשה בדיקה ראשונית ללא עלות.
האתר שלי על גרסה ישנה. מה עכשיו?
המעבר לגרסה חדשה הוא לחיצה אחת בלוח הבקרה, אבל אסור לעשות אותו בלי הכנה. התוספים והתבנית באתר ישן נכתבו לגרסה הישנה, ובמעבר חלק מהם עלולים להפסיק לעבוד: עמודים יישברו, טפסים יפסיקו לשלוח ולפעמים כל האתר ייפול.
- גיבוי מלא של האתר ושל מסד הנתונים.
- עבודה על עותק: מעבירים עותק לסביבת פיתוח (Staging) ולא עובדים על האתר החי.
- עדכון בסביבת הפיתוח: משדרגים PHP (מומלץ לגרסה 8.3 ומעלה) ומעדכנים וורדפרס, תבנית ותוספים לפי הצורך.
- בדיקה: עוברים על העמודים, הטפסים והפונקציות המרכזיות.
- העברה לאתר החי רק כשהכול עובד.
- בדיקת אבטחה: האתר היה חשוף, ולכן בודקים שאין משתמשי מנהל לא מוכרים או קבצים חשודים, ומחליפים סיסמאות.
כמה זה לוקח? באתר שמתוחזק באופן שוטף, כמה שעות. באתר שלא עודכן שנים, במיוחד עם בונה עמודים ותוספים בתשלום, העבודה משמעותית יותר. לכן כדאי להתחיל בבדיקה שנותנת תמונה לפני שמתחייבים.
מקרה מהשטח
אחרי פרסום הפרצה עברנו על אתרים של לקוחות. ברובם השרת עודכן תוך לילה ולא היה צורך לעשות דבר.
מצאנו גם אתר של משרד עורכי דין שנבנה לפני כמה שנים ומאז לא עודכן. הוא רץ על PHP 7.4, ובונה העמודים והתוספים בו היו בני כמה שנים. בעלי האתר לא ידעו שהוא חשוף. מבחינתם האחסון שולם והאתר עבד.
הסכנה הגדולה היא לא החולשה הטכנית, אלא היעדר מישהו שאחראי עליה.
איך נמנעים מזה בפעם הבאה?
פרצות כאלה יחזרו. מה שקובע אם האתר ייפגע הוא אם יש מי שמטפל בו באופן שוטף:
- עדכון קבוע של וורדפרס, התוספים והתבנית.
- מעבר לגרסת PHP חדשה לפני שהישנה מפסיקה לקבל עדכוני אבטחה. גרסה 8.2, למשל, מקבלת תיקוני אבטחה עד סוף 2026.
- גיבויים אוטומטיים.
- מעקב אחרי התראות אבטחה ותגובה מהירה כשמשהו קורה.
שאלות נפוצות
האם האתר שלי בוויקס, וובפלואו או שופיפיי חשוף?
האם אתר HTML פשוט חשוף?
יש לי Cloudflare. זה מספיק?
אפשר פשוט לשנות את גרסת ה-PHP בלוח הבקרה?
האם וורדפרס עצמה בטוחה?
האתר כבר נפרץ? איך יודעים?
צריכים עזרה?
בדיקה ראשונית ללא עלות
שלחו לנו את כתובת האתר ונבדוק: על איזו גרסת PHP הוא רץ, האם הוורדפרס והתוספים מעודכנים, ומה צריך לעשות.
מקורות
- כלכליסט: "70% מהאינטרנט מושפע": כשל האבטחה הקריטי שהתגלה בעזרת בינה מלאכותית
- Wiz Research: PHP2Shell
- NCSC: Critical security issue affecting PHP
- Tenable: PHP2Shell FAQ
- Brandefense: PHP2Shell, גרסאות מתוקנות
המידע מתעדכן. אם יפורסם מידע חדש, העמוד יעודכן.