ב-21 באוקטובר 2026 פורסמה PHP2Shell, פרצה חמורה ב-PHP עצמה, השפה שעליה רץ כל אתר וורדפרס. המדריך מסביר מה התגלה, איך בודקים בכמה דקות באיזו גרסה האתר רץ, ומה עושים כשלגרסה הקיימת אין תיקון.
האתר רץ על גרסת PHP ישנה, או שלא ברור מי מעדכן אותה? מעבירים אותו לשרת חדש עם PHP 8.4 ועדכוני אבטחה אוטומטיים, והאתר הקיים לא משתנה עד המעבר.
חוקרי אבטחה מחברת Wiz פרסמו שתי פרצות ב-PHP עצמה (CVE-2026-109618 ו-CVE-2026-109619), בחומרה של עד 9.2 מתוך 10. הפרצות מאפשרות לתוקף להריץ קוד על השרת בלי להתחבר ובלי סיסמה.
מה שהופך את זה לרציני: לא צריך טעות באתר עצמו. החוקרים הראו את זה על התקנת וורדפרס בסיסית, בלי תוספים מיוחדים. מי שמשתלט על השרת יכול לשנות את האתר, להוסיף לו קוד זדוני או לקרוא את מסד הנתונים.
כמעט כל גרסת PHP מהעשור האחרון מושפעת. פרויקט PHP פרסם תיקון בגרסאות 8.2.35, 8.3.36, 8.4.27 ו-8.5.12. לגרסה 8.1 ולישנות ממנה הפרויקט כבר לא מוציא תיקונים, וגרסה 8.2 מפסיקה לקבל תיקונים בסוף דצמבר 2026.
אתר באחסון משותף נמצא בדרך כלל באחריות חברת האחסון, שמעדכנת את PHP בשרת. הסיכון הגדול הוא באתרים שיושבים על שרת פרטי שמישהו הקים פעם ואף אחד לא מתחזק, ובאתרים שרצים על גרסה ישנה שכבר לא מקבלת תיקונים.
וורדפרס מציג את הגרסה בתוך ממשק הניהול, וזה לוקח פחות מדקה.
אם האתר באחסון משותף: שואלים את חברת האחסון אם עדכון האבטחה של PHP כבר הותקן בשרת. המספר בממשק לבדו לא תמיד מספר את כל הסיפור, כי יש חברות שמתקינות תיקונים בלי לשנות את מספר הגרסה.
אם האתר על שרת פרטי: מעדכנים את PHP דרך עדכוני המערכת כבר היום. כשיש עדכון לגרסה הקיימת, זה הצעד הנכון ולרוב הוא פשוט.
אם הגרסה היא 8.1 או ישנה יותר: אין עדכון לגרסה הזאת, וצריך לעבור לגרסה חדשה יותר. כאן הסיבוך. קפיצת גרסה על אתר חי עלולה לשבור תוספים ותבניות ישנים, ולכן הרבה אתרים נשארים מאחור.
במקום לשדרג את PHP על האתר החי, מקימים שרת חדש עם גרסה נתמכת, מעתיקים אליו את האתר ובודקים אותו בכתובת זמנית. האתר הקיים לא משתנה בזמן הזה, כך שתמיד יש לאן לחזור.
שרתי הוורדפרס שלנו מוקמים עם PHP 8.4 מהמאגר הרשמי של מערכת ההפעלה, ומקבלים עדכוני אבטחה באופן אוטומטי: תיקון אבטחה של PHP מותקן בשרת כשהוא מתפרסם במאגר, בלי שמישהו צריך לזכור.
את ההעברה עושה תוסף ההעברה שלנו: מתקינים אותו באתר הקיים, לוחצים על העברה, והאתר מועתק לשרת החדש. האתר הקיים נשאר כמו שהוא. מקבלים כתובת זמנית לבדיקה, ואת הדומיין מחברים בשלב מודרך רק אחרי שהכול נראה טוב. ההעברה כלולה בלי תשלום נוסף.
התוסף דורש באתר הקיים וורדפרס 6.0 ומעלה ו-PHP 7.4 ומעלה. לאתר ישן יותר אפשר לפנות אלינו, ונבדוק יחד איך להעביר אותו.
כדאי לבדוק עכשיו את גרסת ה-PHP של האתר ולרשום אותה. אם היא 8.1 או ישנה יותר, או שלא ברור מי אחראי לעדכן אותה, זה הזמן לתכנן מעבר.
אם ידוע באיזו גרסת PHP האתר רץ ומי אחראי לעדכן אותה, יש תוכנית. אם התשובה היא "אף אחד", זה בדיוק החלק שאנחנו לוקחים על עצמנו.