WordPress 7.1.4 מתקנת חולשה בזמן השדרוג: צריך לוודא שהתיקון הגיע לכל אתר

WordPress פרסמה את גרסה 7.1.4 ב-28 באוקטובר 2026, עם תיקוני אבטחה שכוללים חולשה העלולה לאפשר הרצת קוד מרחוק בזמן השדרוג. הודעת הגרסה ממליצה לעדכן מיד. לבעלי כמה אתרים, המשימה הראשונה היא לברר באילו התקנות התיקון אכן הותקן.

לפי WordPress, באתרים שתומכים בעדכוני רקע אוטומטיים התהליך מתחיל מעצמו. זה מתאר את אופן תחילת העדכון, ולא מאשר שהוא הסתיים בכל שרת. הגדרה פעילה, רשימת תחזוקה ישנה או מדיניות העדכונים הכללית של חברת האחסון אינן תחליף לבדיקת הגרסה המותקנת.

תהליך השדרוג עצמו הוא חלק מתיקון האבטחה

ההודעה מייחסת ל-Umut Bayram את הדיווח על החולשה בתהליך השדרוג. היא כוללת גם חולשות XSS שמורות באזורים ובהם Interactivity API, רענון סלקטיבי ב-Customizer ובקשות להסרת מידע אישי, לצד חולשת מניעת שירות שמורה. תעודות השורש הכלולות במערכת מתעדכנות בעקבות ביטול התעודות של eMudhra.

תיקונים נוספים מטפלים בחשיפה ללא אימות של קבוצות שינויים שטרם פורסמו ב-Customizer, ובגישה להערות פוסט מצד משתמשים בעלי הרשאות שאינם רשאים לערוך את הפוסט שאליו ההערה משויכת. אלה בעיות שונות של הרשאות וחשיפה. ההודעה אינה מוכיחה שאתר מסוים הותקף, או שלכל החולשות יש תנאי ניצול זהים.

תיעוד הגרסה מוסיף פירוט על הרכיבים וההרשאות המושפעים. הוא שימושי למנהל שבוחן התקנה מסוימת. לבעל האתר שמחליט אם לפעול, ההמלצה לעדכן מיד כבר ברורה; החולשה בזמן השדרוג אינה סיבה לדחות את התיקון.

לוודא שהעדכון הסתיים ואז לבדוק שהאתר עובד

יש לפתוח את לוח הבקרה של כל אתר, לבחור עדכונים ולבדוק את הגרסה הנוכחית. בענף היציב הנוכחי, יעד העדכון במהדורה הזאת הוא 7.1.4. אם העדכון עדיין זמין, יש לבחור עדכון עכשיו או לתאם את הפעולה עם האחראי על האחסון. לאחר הסיום יש לפתוח שוב את המסך ולתעד את הגרסה שהתקבלה.

הוראות העדכון של WordPress ממליצות לגבות קודם ומסבירות שכשל בעדכון בלחיצה אחת עשוי להיות קשור להרשאות במערכת הקבצים. לכן רישום תחזוקה שימושי צריך לכלול את האתר, הגרסה המותקנת, מיקום הגיבוי, התוצאה וכל שגיאה שטרם נפתרה. עדכון שנכשל שייך לרשימת משימות פעילות, לא לעמודת המשימות שהושלמו.

לאחר העדכון יש לבדוק מאמר ציבורי, כניסת מנהל ופעולת פרסום חיונית. הבדיקות האלה מבררות אם האתר עדיין שמיש; הן אינן ביקורת אבטחה. כדאי להשתמש בתוכנית מוכנה לסביבת בדיקות ולחזרה לאחור, ולוודא שבדיקות הגיבוי והשחזור מכסות שחזור שאפשר לבצע בפועל.

ענפי גרסאות ישנים דורשים מספר מדויק, לא הבטחה כללית

הודעת הגרסה אומרת שתיקוני האבטחה הותאמו לענפים ישנים עד 4.7, ושהפצתם עדיין נמשכה. תיעוד הגרסה כבר מציג גרסאות ישנות מתוקנות, ובהן 4.7.39, ומציין ש-4.6 ומטה אינן מקבלות עוד עדכוני אבטחה. רק גרסת WordPress העדכנית ביותר זוכה לתמיכה פעילה. יש לבדוק את התיקון הרשום לענף שמותקן בפועל; עצם קיומם של תיקונים לענפים ישנים אינו הופך כל התקנה ישנה לבטוחה.

אם אי אפשר לעדכן אתר היום, יש לפנות לחברת האחסון או למתחזק עם מספר הגרסה והשגיאה שחוסמת את הפעולה, למנות אחראי ולקבוע מועד ממשי לשחזור או לשדרוג. בזמן שמתאמים את התיקון, יש לבקש הערכה של צעדים לצמצום הסיכון המותאמים לאתר. גיבוי, חומת אש או הבטחה לעדכן בהמשך אינם ראיה לכך שהחולשות האלה תוקנו.

אותה הודעה אומרת ש-7.2 Beta 3 כוללת את התיקונים הרלוונטיים, ושהמועד המתוכנן לפרסום 7.2 הוא 8 בדצמבר. ארכיון הגרסאות מבחין בין בדיקות בטא לבין גרסאות לשימוש בייצור. גרסה ראשית עתידית אינה סיבה להשאיר עדכון אבטחה נוכחי בהמתנה.