חמישה דברים קרו השבוע בעולם וורדפרס, ושניים מהם די דחופים: פרצה בוורדפרס עצמה, שתוקפים כבר מנצלים כדי להריץ קוד על אתרים שלא עודכנו לגרסה 7.1.2, ופרצה בתוסף "Elementor", בונה העמודים הפופולרי ביותר בוורדפרס, שמאפשרת לתוקף ליצור לעצמו חשבון מנהל באתר שלך מקישור אחד שמנהל באתר פותח. לצידן עדכון אבטחה קצר ל-WooCommerce, פיצ'ר חדש בגוגל סירץ' קונסול לבעלי חנויות עם הרבה תמונות, וסיפור קצר על כלי AI שמתחבר עכשיו ישירות לתוך Elementor.
- וורדפרס 7.1.2: פרצה קריטית שכבר מנוצלת
- פרצה ב-Elementor מאפשרת יצירת מנהל זר באתר
- עדכון אבטחה ל-WooCommerce, שבוע אחרי הקודם
- גוגל סירץ' קונסול מפריד חיפושים מתמונה
- AI כותב קוד ישירות לתוך Elementor
- איך זה קשור אלי?
וורדפרס 7.1.2: פרצה קריטית שכבר מנוצלת
ב-22 בספטמבר יצאה גרסה 7.1.2 של וורדפרס, שבוע אחרי 7.1.1 שסיקרתי בסיכום הקודם. הפעם זה לא עדכון שגרתי. הוא סוגר פרצה קריטית, ותוקפים התחילו לנצל אותה עוד באותו יום.
הפרצה יושבת בחלק של וורדפרס שמחליט איזו תבנית עמוד לטעון. תוקף, בלי שום התחברות לאתר, יכול לגרום לו לטעון קובץ קוד אחר שנמצא על השרת, מחוץ לתיקיות של התבנית. אם השרת והתבנית הפעילה עומדים בתנאים מסוימים, זה נגמר בכך שהתוקף מריץ קוד משלו על השרת שלך.
מי מושפע: כל אתר וורדפרס שעוד לא עודכן, מגרסה 4.7 ועד 7.1.1. לא צריך סיסמה, ולא צריך שמנהל ילחץ על קישור. לפי Patchstack, ב-23 בספטמבר כבר היו תוקפים שמריצים קוד וכותבים קבצים לשרת, היקף ניסיונות התקיפה עלה פי עשרה ויותר לעומת הערב הראשון, וכלי סריקה ציבורי לפרצה הזו כבר מסתובב. כלומר, הסריקה אוטומטית ולא בוחרת אתרים, וגם אתר קטן נכנס אליה.
הפעולה האחת: תיכנס ללוח הבקרה, לעמוד העדכונים, ותבדוק איזו גרסת וורדפרס מותקנת. אם היא לא 7.1.2, תעדכן היום, לפני כל דבר אחר ברשימה הזו. אצל לקוחות התחזוקה שלי זה העדכון הראשון שאני בודק השבוע, עוד לפני Elementor. אחרי העדכון תחזור לאותו עמוד ותראה שכתוב שם 7.1.2.
אם האתר שלך נשאר על גרסה ישנה מאז 22 בספטמבר ואתה חושד שכבר נכנסו אליו, יש סימנים שאפשר לבדוק בעצמך. הפרטים הרשמיים בהודעת השחרור באתר WordPress.org, ותמונת התקיפות מהפרסום של Patchstack.
פרצה ב-Elementor מאפשרת יצירת מנהל זר באתר
ב-22 בספטמבר דיווחו על הפרצה ל-Patchstack, ו-Elementor תיקנו אותה בגרסה 4.3.2 ב-24 בספטמבר. הפרצה קיימת רק בגרסאות 4.3.0 ו-4.3.1.
מודול הטלמטריה של Elementor מכבה בטעות את הגנת ה-CSRF שוורדפרס שם על כל ה-REST API, לא רק על הפעולות של Elementor עצמו. קישור אחד, שנפתח על ידי מנהל מחובר, גורם לו לביצוע כל פעולה שהוא מורשה לביצע, ובאתר רגיל זה אומר שהתוקף יוצר לעצמו חשבון מנהל שני.
זה נוגע לכל אתר שרץ Elementor בגרסה 4.3.0 או 4.3.1. Elementor הוא בונה העמודים הנפוץ ביותר בוורדפרס, אז זו לא פרצה נישתית. הקישור יכול להגיע במייל, בהודעת WhatsApp או בצ'אט, ולא צריך JavaScript מיוחד, רק מנהל אחד שפותח אותו.
תיכנס לתוספים ותבדוק את הגרסה של Elementor, ואם היא 4.3.0 או 4.3.1, תעדכן ל-4.3.2 עוד היום. אני מעדכן את זה על כל אתר לקוח שמריץ Elementor ברגע שראיתי את הדיווח, בלי לחכות לסבב העדכונים הרגיל. אם האתר שלך מורכב, יש דרך בטוחה לעדכן. אחרי העדכון תבדוק ברשימת המשתמשים שאין שם מנהל שאתה לא מזהה.
הפירוט המלא על הפרצה מגיע מהפרסום של Patchstack.
עדכון אבטחה ל-WooCommerce, שבוע אחרי הקודם
ב-22 בספטמבר יצאה גרסה 11.1.2 של WooCommerce, ימים אחרי 11.1.1, שגם אותה סיקרתי בסיכום הקודם. זה עדכון אבטחה, ומתקן גם רקורסיה אינסופית בתצוגת גלריית הווריאציות של מוצר, בנוסף לחיזוק בדיקת התקינות בביקורות מוצר שמגיעות באימייל.
אם עברת ל-11.1.1 בשבוע שעבר וראית בעיה בטעינת גלריה במוצר עם כמה וריאציות, זה הבאג הזה, ויש לו תיקון מוכן. הוא מסומן כעדכון אבטחה, אז שייך לאותה משפחה שכדאי לסגור מוקדם ולא לדחות.
תעדכן את WooCommerce מלוח הבקרה, ואחר כך תיכנס למוצר עם כמה וריאציות ותראה שהגלריה נטענת תקין. אני עושה את זה בסבב העדכונים החודשי שלי, ובחנויות שמראות את התסמין הזה אני מקדים אותו. פירוט העדכון בהודעת השחרור של WooCommerce.
גוגל סירץ' קונסול מפריד חיפושים מתמונה
מ-24 בספטמבר גוגל מגלגלים אפשרות חדשה בדוח הביצועים של Search Console: פילטר סוג חיפוש בשם "Web: multimodal", שמפריד חיפושים שמתחילים מתמונה, כמו Google Lens או Circle to Search, מחיפוש טקסט רגיל.
אין פירוט של מילות חיפוש, רק נפח כולל. זה שימושי לאתר שמוכר משהו שנראה טוב בתמונה, כמו חנות, תפריט או פורטפוליו: עד עכשיו לא היה מספר שמראה אם לקוחות מגיעים דרך תמונה.
תיכנס ל-Search Console, תפתח את דוח הביצועים, ותסתכל בפילטר סוג החיפוש. אני מכניס את המספר הזה לדוח החודשי של לקוחות התחזוקה שלי מהחודש הזה. הפרטים מגיעים מ-Search Engine Journal.
AI כותב קוד ישירות לתוך Elementor
מ-15 בספטמבר Elementor פתחו גרסת בטא לחיבור "MCP", שמאפשר לכלי AI כמו "Claude Code" או "Codex" להתחבר ישירות לאתר ולערוך בו מבנה Elementor אמיתי. סוכנות אחת פרסמה ב-23 בספטמבר מקרה של הרצת החיבור על אתר וורדפרס פעיל בפרודקשן, אבל זה כתוב בבלוג של Elementor עצמם, כך ש"שימוש בפרודקשן" הוא הניסוח שלהם על עצמם, ולא משהו שאימתתי באתר אחר. אני עוקב אחרי זה, ובינתיים לא ממליץ לחבר AI ישירות לאתר לקוח בלי בדיקה צמודה. הפרטים מהבלוג של Elementor.
איך זה קשור אלי?
ארבעת הדברים הראשונים נוגעים לאתר עסקי רגיל. וורדפרס עצמו רץ על כל אתר כזה, Elementor רץ על חלק גדול מהאתרים שאני פוגש, WooCommerce מגיע לכל חנות, והפילטר ב-Search Console קיים לכל אתר עם נוכחות בגוגל.
הבדיקה לוקחת שתי דקות: תיכנס לעמוד העדכונים ותסתכל על גרסת וורדפרס, אחר כך בתוספים על הגרסה של Elementor, ואם יש לך חנות, תראה באותה רשימה גם את הגרסה של WooCommerce.
אם וורדפרס אצלך לא על 7.1.2, תתחיל ממנו, לפני כל השאר. אחריו Elementor, אם הוא על 4.3.0 או 4.3.1, ואחרי זה WooCommerce אם רלוונטי. את הפילטר ב-Search Console אפשר לבדוק בנחת השבוע או בשבוע הבא, זה לא דחוף.
את כל העדכונים והבדיקות האלה אני עושה בתוך חבילת תחזוקה אחת, כדי שלא תצטרך לחזור לזה בכל שבוע. רוצה לא לחשוב יותר על "מי עוד רץ לי על גרסה פרוצה"? יש לי חבילת תחזוקה כזו, שסוגרת עדכונים כאלה בשבילך. אם אתה חושב שזה יכול לעניין אותך, תכתוב לי ואשמח לייעץ.
רוצה שמישהו ישמור על האתר שלך
אני מציע חבילת תחזוקה שוטפת לאתרי וורדפרס: עדכונים מבוקרים, גיבוי אוטומטי מחוץ לשרת, ניטור זמינות, ומעקב אבטחה, כך שעדכון דחוף כמו זה של השבוע נסגר בלי שתצטרך לשים לב אליו. פרטים על חבילת התחזוקה או צור קשר ב-WhatsApp.
אני גרי חלימסקי, מומחה וורדפרס עצמאי עם 10 שנות ניסיון. אני מתמחה באבחון תקלות, אבטחה, ושיפור ביצועים של אתרי וורדפרס לעסקים קטנים ובינוניים בישראל. בעת הצורך נעזר במומחים מהימנים (עיצוב, שיווק, אנליטיקה). פרטים על השירותים.
