שלושה דברים קרו השבוע בעולם וורדפרס, ואחד מהם די דחוף. פרצה קריטית בתוסף "The Events Calendar" מאפשרת השתלטות מלאה על האתר, ובימים שאחריה יצאו עדכוני האבטחה של וורדפרס 7.1.1 ו-WooCommerce 11.1.1.
- פרצה קריטית בתוסף The Events Calendar מאפשרת השתלטות על האתר
- וורדפרס 7.1.1 יצא עם 11 תיקוני אבטחה
- WooCommerce 11.1.1 מחזק את האבטחה של הקופה
- איך זה קשור אלי?
פרצה קריטית בתוסף The Events Calendar מאפשרת השתלטות על האתר
ב-14 בספטמבר פרסמה חברת האבטחה Wordfence שתי פרצות אבטחה קריטיות בתוסף The Events Calendar. זה תוסף פופולרי לניהול אירועים בוורדפרס, מותקן על יותר מ-600,000 אתרים, והרבה אתרים נושאים אותו בלי לחשוב עליו. הפרצות הן CVE-2026-78006 ו-CVE-2026-78159.
תוקף בלי חשבון ובלי סיסמה משאיר תגובה בנויה במיוחד בעמוד אירוע, ומריץ דרכה קוד על השרת.
מה שהופך את זה לחמור במיוחד: גם תגובה שממתינה לאישור שלך מפעילה את הפרצה, דרך התצוגה המקדימה שלה. אתה לא צריך לאשר כלום. התוצאה היא השתלטות מלאה על האתר, גניבת מידע והשתלת קבצים זדוניים. היצרן StellarWP סגר את הפרצה הראשונה ב-25 באוגוסט ואת השנייה ב-10 בספטמבר, ושתיהן סגורות בגרסה 6.17.4.1.
תבדוק עכשיו איזו גרסה של התוסף רצה אצלך. אם היא נמוכה מ-6.17.4.1, תעדכן מיד. בפרצה מהסוג הזה אני מעדכן מיד גם בלי לעבור קודם דרך עותק בדיקות, כי החשיפה גדולה יותר מהסיכון שבעדכון. אם אתה לא יכול לעדכן ברגע זה, תכבה תגובות בעמודי האירועים עד שתעדכן. זה פתרון זמני ולא תחליף לעדכון.
אם אתה חושד שכבר נכנסו לאתר שלך, יש סימנים שאפשר לבדוק בעצמך לפני שמזעיקים מישהו.
וורדפרס 7.1.1 יצא עם 11 תיקוני אבטחה
ב-17 בספטמבר יצאה גרסה 7.1.1 של וורדפרס. היא כוללת 11 תיקוני אבטחה, 17 תיקוני באגים בליבה ו-19 בעורך הבלוקים. אחד התיקונים נוגע לפונקציה wpautop, שרצה כמעט על כל תוכן שמוצג באתר, ואיפשרה למבקר אנונימי להזריק סקריפט דרך תגובה שאושרה.
אם עדכונים אוטומטיים פעילים אצלך, סביר שהאתר כבר על 7.1.1. הרבה אתרים מכבים את העדכונים האוטומטיים, ואז הגרסה נשארת ישנה עד שמישהו נכנס ומעדכן ביד. זה המצב שכדאי לוודא שאתה לא בו.
תיכנס ללוח הבקרה ותסתכל בעמוד העדכונים. אם רשום שם מספר נמוך מ-7.1.1, תעדכן. עדכון גרסת תיקון כזו בטוח ברוב המקרים, ואם האתר שלך מורכב או שלא עודכן מזמן, תעשה גיבוי לפני ותעבוד לפי הדרך הבטוחה לעדכן.
WooCommerce 11.1.1 מחזק את האבטחה של הקופה
ב-18 בספטמבר יצאה גרסה 11.1.1 של WooCommerce. העדכון מחזק הרשאות ב-API, אימות וניהול סשנים, ומתקן גם באג בבלוק Mini-Cart: תוכן העגלה היה יכול להופיע בלי עיצוב מתחת לפוטר כשהבלוק מוסתר בכלל תצוגה.
הצד האבטחתי נוגע לקופה ולחשבונות הלקוחות, כלומר לכסף ולפרטים של הקונים שלך. הבאג בעגלה פחות מסוכן, אבל לקוח רואה אותו לפני שאתה רואה אותו.
תעדכן את WooCommerce מלוח הבקרה. לפי הערות הגרסה אין כאן עדכון של מסד הנתונים, אז זה עדכון קצר. אחרי שסיימת, תעבור קנייה אחת שלמה בחנות ותראה שהקופה עובדת לך תקין.
איך זה קשור אלי?
שלושת הדברים האלה נוגעים לכל אתר עסקי רגיל. The Events Calendar יושב על הרבה אתרים שבעל האתר כבר לא זוכר שהתקין, עדכון הליבה מגיע לכל אתר וורדפרס בלי יוצא מן הכלל, ועדכון WooCommerce מגיע לכל חנות.
הבדיקה לוקחת שתי דקות. תיכנס ללוח הבקרה, תפתח את רשימת התוספים ותחפש את The Events Calendar; אם הוא שם, תסתכל על מספר הגרסה שלידו. באותה רשימה תראה גם את הגרסה של WooCommerce, ואת גרסת וורדפרס עצמה תראה בעמוד העדכונים.
אם התוסף מותקן אצלך והגרסה נמוכה מ-6.17.4.1, תתחיל ממנו, לפני כל השאר. אחרי זה תעדכן את הליבה ל-7.1.1 ואת WooCommerce ל-11.1.1. אם התוסף לא מותקן אצלך, נשארו לך שני העדכונים ואפשר לסגור את הנושא להשבוע.
אם אתה מעדיף שמישהו יעשה את זה בשבילך, אני עושה את העדכונים האלה במסגרת שירות העדכונים, ואם אתה חושד שכבר נכנסו לאתר אני בודק את זה דרך שירות האבטחה. רוצה לא לחשוב יותר על "האם האתר שלי בסכנה?", לבדוק עדכונים ולנחש מה ומתי צריך לעדכן? יש לי חבילת תחזוקה שמורידה ממך את כל הדאגות, ואז הפריטים של השבוע הבא נסגרים בלי שתיגע בהם. אם משהו פה לא ברור, או שאתה לא בטוח מה רץ אצלך, תכתוב לי ואשמח לייעץ.
רוצה שמישהו ישמור על האתר שלך
אני מציע חבילת תחזוקה שוטפת לאתרי וורדפרס: עדכונים מבוקרים, גיבוי אוטומטי מחוץ לשרת, ניטור זמינות, ומעקב אבטחה, כך שעדכון דחוף כמו זה של השבוע נסגר בלי שתצטרך לשים לב אליו. פרטים על חבילת התחזוקה או צור קשר ב-WhatsApp.
אני גרי חלימסקי, מומחה וורדפרס עצמאי עם 10 שנות ניסיון. אני מתמחה באבחון תקלות, אבטחה, ושיפור ביצועים של אתרי וורדפרס לעסקים קטנים ובינוניים בישראל. בעת הצורך נעזר במומחים מהימנים (עיצוב, שיווק, אנליטיקה). פרטים על השירותים.
