בעמוד הזה
מה קרה
ב-21 באוקטובר 2026 פרסם פרויקט PHP הודעת אבטחה על שתי פרצות קריטיות (CVE-2026-109618 ו-CVE-2026-109619) שיכולות לאפשר למי שלא מחובר בכלל להריץ קוד על השרת. באותו יום יצאו ארבע גרסאות מתוקנות: 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. לפי ההודעה, בסיכון נמצאת כל התקנה של PHP שמגישה בקשות מהרשת, והפרויקט ממליץ לכל מי שמשתמש ב-PHP לעדכן מיד. בהודעות על הגרסאות עצמן כתבה PHP שאין דרך עקיפה מלאה, ושהעדכון הוא הבחירה הבטוחה היחידה.
וורדפרס רצה על PHP, ובאותו יום פרסמה הודעה משלה: הפרצות לא ייחודיות לוורדפרס, הן נוגעות לכל שרת שמריץ אפליקציה ב-PHP, ואין עדכון של וורדפרס שנדרש או מתוכנן בגללן. Cloudflare כתבה שהוסיפה כללי חסימה לחומת האש שלה ושהיא כבר רואה תעבורת תקיפה.
מה זה אומר למי שבונה
אם האתר שלכם בנוי בוורדפרס, או בכל מערכת אחרת שרצה על PHP, התיקון לא נמצא בלוח הבקרה. הפרצות יושבות בשפה עצמה ולא בקוד של האתר, ו-Cloudflare כותבת את זה במפורש: עדכון של קוד האתר או של תוסף לבד לא מתקן אותן, וצריך לעדכן את התוכנה של PHP בשרת.
מי שהאתר שלו יושב באחסון משותף לא מעדכן את PHP בעצמו. וורדפרס כותבת שייתכן שחברת האחסון כבר עובדת על העדכון ומוסיפה כללי חסימה, וממליצה לבדוק מולה בכל זאת. מי שמנהל שרת משלו, או שמתכנת הקים לו שרת והמשיך הלאה, אחראי לעדכון בעצמו.
גרסה ישנה היא בעיה נפרדת. PHP 8.1 וכל מה שלפניה כבר לא מקבלות עדכונים מהפרויקט, ולגרסאות 7.4, 8.0 ו-8.1 פורסמו רק תיקונים מינימליים בקוד המקור, למי שבונה את PHP בעצמו. וורדפרס כותבת שמי שמנהל אחסון בעצמו ורץ על גרסה ישנה מ-8.2 צריך לשקול להוריד את השרת מהאוויר עד שיעדכן, ומצטטת את אותה המלצה מהמרכז הבריטי לאבטחת סייבר.
מה לעשות עכשיו
- לבדוק איזו גרסה רצה אצלכם. בוורדפרס: בתפריט הכלים, Site Health, הלשונית Info והחלק Server (בממשק בעברית השמות מתורגמים). רוב חברות האחסון מציגות את הגרסה גם בלוח הניהול שלהן.
- להשוות למספרים. גרסה מתוקנת היא 8.5.12, 8.4.27, 8.3.36 או 8.2.35, או חדשה מהן באותו ענף. מספר נמוך יותר, או שאתם לא בטוחים: לפנות היום לחברת האחסון ולשאול אם התיקון של 21 באוקטובר כבר הותקן בשרת שלכם.
- גרסה 8.1 ומטה: לבקש מעבר לגרסה נתמכת. לפני המעבר כדאי לבדוק בטבלת התאימות של וורדפרס שהגרסה של האתר שלכם עובדת איתה, ולגבות את האתר.
- האתר עובר דרך Cloudflare: בתוכנית החינמית הכללים החדשים פועלים לבד. בתוכניות בתשלום Cloudflare ממליצה לוודא שהכללים המנוהלים (Managed Ruleset) במצב חסימה. וגם אז, לפי Cloudflare עצמה, צריך לעדכן את PHP.
- משהו באתר נראה חשוד: לוורדפרס יש דף הנחיות למקרה שאתר נפרץ.
ואם האתר בוורדפרס ואין היום מי שמטפל בשרת: ב-Kringl ביל, מנהל התשתיות, עובד על השרת שלכם בגישה שאתם נותנים, או מעביר את האתר לשרת המנוהל של Kringl.
מה עוד לא ידוע
Cloudflare כתבה שהיא רואה תעבורת תקיפה אבל לא פרסמה מספרים, ואף אחד מהמקורות הרשמיים שבדקנו לא פרסם כמה אתרים נפרצו בפועל. ועוד תאריך אחד ששווה לזכור: PHP 8.2 מגיעה לסוף חייה ב-31 בדצמבר 2026 ולא תקבל אחריו תיקוני אבטחה, ו-PHP ממליצה למי שנמצא בה לתכנן כבר עכשיו מעבר לגרסה נתמכת.
שאלות נפוצות
צריך לעדכן את וורדפרס בגלל הפרצות ב-PHP?
לא. וורדפרס כתבה ב-21.10.2026 שהפרצות לא ייחודיות לוורדפרס ושאין עדכון של וורדפרס שנדרש או מתוכנן בגללן. מה שצריך לעדכן הוא PHP בשרת.
איך יודעים איזו גרסת PHP רצה באתר וורדפרס?
בתפריט הכלים של וורדפרס, Site Health, הלשונית Info והחלק Server, או בלוח הניהול של חברת האחסון. גרסה מתוקנת היא 8.5.12, 8.4.27, 8.3.36 או 8.2.35, או חדשה מהן באותו ענף.
האתר מאחורי Cloudflare. זה מספיק?
לא. Cloudflare הוסיפה כללי חסימה, ובתוכנית החינמית הם פועלים לבד, אבל היא עצמה כותבת שצריך לעדכן את PHP גם עם ההגנה שלה.
תחזוקת אתר וורדפרס
ביל מטפל בשרת שלכם בגישה שאתם נותנים. 199 ₪ למושב לחודש, נכון ל-04.10.2026.
לדף הפתרוןיש קוד. חסר מי שימשיך.
הצוות של Kringl נכנס לקוד שכבר יש לכם, ומביא אותו עד השרת ועד חנויות האפליקציות. 30 ימי ניסיון.
199 ₪ למושב לחודש, כולל מע"מ, נכון ל-04.10.2026.
לפתוח סטודיו
המקורות: הודעת האבטחה של PHP "Security advisory: Critical remote code execution vulnerabilities, update now" וההודעות על PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35 (21.10.2026), ההודעה של וורדפרס "Critical PHP Security Release" (21.10.2026), והפוסט של Cloudflare "Cloudflare deploys protections against php2shell vulnerability" (21.10.2026). המידע נאסף ונבדק ב-22.10.2026. PHP, WordPress ו-Cloudflare הם סימני מסחר של בעליהם. Kringl ו-Wizzo לא קשורות אליהם, ולא קיבלו מהם חסות או אישור.
