ליבת WordPress נושאת חולשה שמאפשרת לתוקף להריץ קוד על השרת של האתר בלי להזדהות, והחלון שבו היא פועלת הוא דווקא הרגע שבו האתר מתקין עדכון מלא של הליבה. הציון שניתן לה הוא 8.1, הגרסאות הפגועות הן 4.7 ועד 7.1.3, והיא נכנסה לקטלוג החולשות המנוצלות בפועל ב-3 בנובמבר 2026.

מה החולשה?

כשמאשרים ב-WordPress עדכון מלא של הליבה, המערכת אינה מחליפה את הקבצים במקומם. היא מורידה את החבילה, פורשת אותה לספרייה בתוך האתר, ורק אחר כך מעבירה את הקבצים לייעודם. הספרייה הזאת היא שלב מעבר, והיא קיימת שניות ספורות.

שתי עובדות הופכות את שלב המעבר הזה לנתיב תקיפה. הראשונה: הנתיב שאליו החבילה נפרשת ניתן לחישוב מראש ואינו מכיל רכיב מקרי שתוקף אינו יכול לדעת. השנייה: הנתיב יושב בתוך תחום האתר, כלומר אפשר לפנות אליו מהדפדפן כל זמן שהוא קיים. מי שיודע לאן לפנות ופונה בדיוק בחלון הזמן הזה מגיע אל הקוד שהמערכת עצמה עומדת להריץ, לפני שהיא סיימה להעמיד אותו במקומו המוגן.

לפער הזה בין הרגע שבו תוכנה מכינה משהו לרגע שבו היא משתמשת בו קוראים מרוץ בין הבדיקה לשימוש, והסיווג שניתן לו הוא CWE-367. זה גם מה שמסביר את הציון 8.1 ולא יותר ממנו: הצורך לפגוע בחלון זמן קצר מקשה על התקיפה, אבל אינו מונע אותה, והתוקף אינו צריך חשבון באתר.

מי מושפע?

כל אתר שמריץ ליבת WordPress בגרסאות 4.7 עד 7.1.3, כלומר כמעט כל טווח הגרסאות שהיה בשימוש בשנים האחרונות. הרשומה אינה מייחסת את החולשה לתוסף או לתבנית אלא לליבה עצמה ולמסלול העדכון שלה.

בישראל זה חלק גדול מהאינטרנט המקומי. WordPress הוא מה שמריץ אתרי עסקים קטנים, חנויות, קליניקות, עמותות ובלוגים, לרוב בלי אף אחד שמנטר את השרת. מי שהאתר שלו מתוחזק אצל ספק אחסון או מתכנת חיצוני אינו בהכרח יודע באיזו גרסה הוא נמצא ומי מריץ אצלו את העדכונים, וזאת השאלה הראשונה שכדאי לשאול כאן.

נקודה אחת מצמצמת את החשיפה, ולא כדאי להישען עליה. לפי הרשומה החולשה פועלת בחלון ההתקנה של עדכון ליבה מלא, כך שאתר שאינו מעדכן אינו נמצא בחלון. הוא גם נשאר על גרסה פגועה. זו דחייה, לא הגנה.

האם מנוצלת בפועל?

כן. ב-3 בנובמבר 2026 נרשמה החולשה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שיש עליהן ראיות לניצול בשטח. הרשומה ב-NVD פורסמה ב-31 באוקטובר 2026, שלושה ימים קודם לכן, ומועד התיקון שהסוכנות קבעה לגופים הפדרליים הוא 6 בנובמבר 2026. שלושה ימים מרגע הרישום.

הרשומה אינה מתארת את הניצול ואינה מצביעה על מי שמבצע אותו. ארבעת המקורות שהיא מפנה אליהם הם שורות קוד בליבת WordPress עצמה, במערכת ה-trac של הפרויקט, ולא דיווח על קמפיין. כלומר הראיה לניצול באה מהקטלוג, והתיעוד הזמין מסביר את הכשל אך לא את מה שנעשה איתו.

מה עושים?

בדקו קודם באיזו גרסה אתם. בלוח הבקרה של WordPress, בתפריט לוח בקרה ואז עדכונים, מופיעה גרסת הליבה המותקנת ולצידה עדכון זמין אם יש כזה.

הרשומה קובעת שהטווח הפגוע מגיע עד 7.1.3 ועד בכלל, ואינה נוקבת בגרסה מתקנת. לכן הצעד המעשי הוא לעלות מאותו מסך לגרסת הליבה הזמינה העדכנית ביותר, ואחר כך לחזור למסך ולאמת שהמספר שמופיע שם גבוה מ-7.1.3. אל תניחו שספק האחסון עשה זאת בשבילכם, תאמתו את המספר.

הפעילו עדכוני ליבה אוטומטיים אם הם כבויים אצלכם. יש כאן מתח אמיתי, כי החולשה יושבת בתוך חלון העדכון, אבל חלון של שניות שנפתח מעצמו עדיף על אתר שנשאר חודשים על גרסה פגועה שיש עליה ראיות לניצול.

ואם האתר מתוחזק בידי ספק או מתכנת חיצוני, שאלו אותם שני דברים במפורש: באיזו גרסת ליבה האתר נמצא כרגע, ומתי בוצע העדכון האחרון.