שני אירועי אבטחה נגעו בשבועיים האחרונים לאתרי וורדפרס. מפתחות חיבור שנגנבו מהחברה שמאחורי תוסף הגיבויים UpdraftPlus שימשו להשתלת דלת אחורית באתרים. במקביל, עדכון האבטחה הדחוף של PHP תלוי בחברת האחסון, ולא ברור שהגיע לכל השרתים.
מה בדיוק השתנה
UpdraftPlus ו־UpdraftCentral: - מה קרה: לפי TeamUpdraft, החברה שמפתחת את התוסף, ב־17 עד 18.10 נמצאה גישה לא מורשית לאתר שלה. החברה מעריכה שמאגר הלקוחות נחשף, כולל מפתחות החיבור ל־UpdraftCentral, הלוח שמנהל כמה אתרים ממקום אחד. - פריצות בפועל: לפי החברה, התוקף השתמש בחיבור לאתרים כדי ליצור חשבונות מנהל ולהתקין תוספים זדוניים. חוקרי אבטחה מנו לפחות 99 שמות שונים של תוספים כאלה. - מי בסיכון: מי שחיבר אתרים ל־UpdraftCentral בענן, ובעלי חשבון באתר TeamUpdraft. מי שמגבה ל־UpdraftVault, שירות האחסון של החברה, צריך לחבר את האתר מחדש, כי כל החיבורים נותקו. התוסף עצמו, הגיבויים באחסון שלכם ו־UpdraftCentral שמותקן על שרת משלכם לא נפגעו. - עדכון יצא: גרסאות 1.26.13 (חינמית) ו־2.26.13 (Premium) יצאו ב־19.10 ומנתקות את החיבורים הישנים. את הגרסה החינמית WordPress.org הפיצה בעדכון אוטומטי. הגרסה העדכנית היום היא 1.26.14, מ־26.10. לפי החברה, החקירה עוד נמשכת.
PHP: - הושק: ב־21.10 יצאו גרסאות 8.5.12, 8.4.27, 8.3.36 ו־8.2.35, שמתקנות שתי חולשות (CVE-2026-109618 ו־CVE-2026-109619) המכונות PHP2Shell. וורדפרס הודיעה שלא ייצא עדכון וורדפרס בגללן. - ניצול מוצלח: לפי BleepingComputer מ־26.10, חוקר תיעד הרצת קוד מוצלחת בשרת פיתיון (honeypot), וחוקר נוסף אישר את הממצא. - דיווח שתוקן: Unit 42 של Palo Alto קישרה פריצה לגוף ממשלתי באירופה לחולשות, וב־25.10 חזרה בה. - עוד לא תוקן: חולשה שלישית (CVE-2026-115560) נוגעת לפי PHP רק לשילוב חריג של הגדרות וקוד. נכון ל־29.10 התיקון לא פורסם, והוא צפוי בעדכון השגרתי הבא.
מה זה אומר לעסק שלכם
תוסף גיבוי מחובר הוא גם דלת לאתר. UpdraftCentral נועד לחסוך זמן: לעדכן ולגבות כמה אתרים מלוח אחד. אבל מי שמחזיק את המפתח יכול גם להתקין תוספים וליצור משתמשים. הפעם המפתחות נגנבו מהספק, לא מכם. לכן כל כלי ניהול מרחוק שמחובר לאתר צריך להופיע ברשימה מסודרת של מי מחובר ולמה.
עדכון אוטומטי של התוסף לא מוחק את מה שכבר הותקן. הגרסה החדשה מנתקת את המפתחות הישנים. היא לא מסירה משתמש מנהל או תוסף שהתוקף הספיק להוסיף. לפי חוקרי האבטחה שזיהו את התקיפה ראשונים, הדלת האחורית יכולה להישאר גם אחרי הסרת התוסף הזדוני. לכן בודקים משתמשים ותוספים ידנית, גם אם התוסף כבר מעודכן.
ב־PHP, התיקון אצל חברת האחסון ולא אצלכם. PHP היא השפה שרצה על השרת ומריצה את וורדפרס. לחיצה על "עדכן הכול" בלוח הבקרה לא משנה אותה. אחסון מנוהל מתעדכן בדרך כלל מהצד של החברה. שרת פרטי שאף אחד לא הוגדר כאחראי עליו פשוט נשאר מאחור.
יש כבר תיעוד ראשון של ניצול מוצלח. כבר ב־22.10 דיווחה Cloudflare, לפי The Hacker News, על מיליוני ניסיונות תקיפה. עכשיו יש גם תיעוד של הרצת קוד מוצלחת, גם אם בשרת פיתיון אחד. זו סיבה מספיקה לוודא את גרסת השרת השבוע, ולא לחכות לעדכון הבא.
סוף השנה הוא מועד אמיתי. לפי PHP, גרסה 8.2 מפסיקה לקבל עדכוני אבטחה ב־31.12.2026, וגרסאות 8.1 ומטה כבר לא מקבלות. מעבר גרסה דורש לבדוק שהתבנית והתוספים תואמים. עדיף לתכנן אותו עכשיו, ולא בלחץ של ההתראה הבאה.
ממה לא להיבהל: לא מוחקים את UpdraftPlus ולא מוחקים גיבויים. לפי החברה, הגיבויים באחסון שלכם לא נפגעו, והם בדיוק מה שיציל את האתר אם תמצאו בו משהו חשוד. אם האתר נפרץ, מחליפים גם את מפתחות הגישה לאחסון הגיבויים. גם לא משנים לבד הגדרות שרת לפי מדריך מהרשת.
מה כדאי לעשות השבוע
- לבדוק את גרסת UpdraftPlus ואת מפתחות החיבור. נכנסים ללוח הבקרה של האתר עצמו, לא דרך UpdraftCentral. מוודאים גרסה 1.26.13 או 2.26.13 ומעלה. אם האתר היה מחובר ל־UpdraftCentral בענן, מוחקים את המפתח בהגדרות התוסף, תחת Advanced Tools.
- לעבור על המשתמשים והתוספים. מחפשים מנהל או עורך שאתם לא מכירים, ותוסף שלא התקנתם, כולל בלשונית Must-Use (תוספים שנטענים תמיד ולא מופיעים ברשימה הרגילה). מחליפים סיסמאות לכל המנהלים. אם משהו חשוד, משחזרים מגיבוי מלפני 17.10, עם מי שמתחזק את האתר.
- לבדוק את גרסת ה־PHP ולשלוח הודעה אחת לחברת האחסון. בוורדפרס: כלים, בריאות האתר, מידע, שרת. שואלים אם השרת עודכן לגרסה מ־21.10, ומסמנים ביומן את 31.12 אם האתר על 8.2.
שאלות נפוצות
לא השתמשתי אף פעם ב־UpdraftCentral. אני צריך לעשות משהו?
לפי TeamUpdraft, משתמש בגרסה החינמית בלי חשבון אצלה לא צריך לעשות דבר מלבד לשמור על התוסף מעודכן. אנחנו ממליצים בכל זאת לבדוק משתמשים ותוספים חריגים, וזו בדיקה של כמה דקות.
אם עדכנתי את וורדפרס ואת כל התוספים, אני מוגן מ־PHP2Shell?
לא בהכרח. החולשה נמצאת ב־PHP שרצה על השרת, ואת התיקון מתקינה חברת האחסון. רק היא יכולה לאשר שהשרת עודכן.
נפרצו כבר אתרים בגלל זה?
דרך UpdraftCentral כן, לפי הספק ולפי חוקרי אבטחה. ב־PHP2Shell תועדה הרצת קוד מוצלחת בשרת פיתיון, ודיווח מוקדם על פריצה לגוף ממשלתי תוקן בדיעבד.
רוצים אתר שמישהו באמת אחראי על האבטחה שלו?
אנחנו בונים ומתחזקים אתרי וורדפרס וחנויות, כולל מעקב אחרי עדכוני תוספים ושרת, ובדיקה שקטה כשיוצאת התראה. כך יש כתובת אחת שבודקת ומטפלת. מעל 15 שנות ניסיון באתרים לעסקים. לשירותי האתרים של מדוזה
מקורות
- TeamUpdraft, "Security incident October 2026", עודכן לאחרונה 23.10.2026: https://teamupdraft.com/blog/security-incident-october-2026/
- WordPress.org, דף התוסף UpdraftPlus ויומן השינויים, נבדק 29.10.2026: https://wordpress.org/plugins/updraftplus/
- PHP, הודעות שחרור ואזהרות אבטחה, 21.10.2026 ו־23.10.2026: https://www.php.net/archive/2026.php
- PHP, טבלת הגרסאות הנתמכות, נבדק 29.10.2026: https://www.php.net/supported-versions.php
- WordPress.org, "Critical PHP Security Release", 21.10.2026: https://wordpress.org/news/2026/10/critical-php-security-release/
- Palo Alto Networks Unit 42, על PHP2Shell, פורסם 23.10.2026 ועודכן 25.10.2026: https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/
- BleepingComputer, על המפתחות שנגנבו מ־UpdraftCentral, 20.10.2026: https://www.bleepingcomputer.com/news/security/stolen-updraftcentral-keys-used-to-backdoor-wordpress-sites/
- The Hacker News, על ניצול מפתחות UpdraftCentral, 21.10.2026: https://thehackernews.com/2026/10/attackers-abuse-updraftcentral-keys-to.html
- The Hacker News, על החולשה השלישית ועל היקף הניסיונות, 23.10.2026: https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html
- BleepingComputer, על ניצול מוצלח של PHP2Shell, 26.10.2026: https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/
