אבטחת וורדפרס: מאיפה מגיעות הפריצות וצ'ק־ליסט של 10 צעדים

אבטחת וורדפרס בפועל: מה צריך להגן ומפני מה

וורדפרס עצמה, כלומר הליבה (Core), מתוחזקת היטב ומקבלת תיקוני אבטחה באופן קבוע. רוב הסיכון נמצא מסביבה: בתוספים, בערכות העיצוב, בסיסמאות של המשתמשים ובשרת האחסון. לכן אבטחת וורדפרס היא בעיקר שגרת תחזוקה, ותוסף אבטחה אחד שמתקינים ושוכחים לא מכסה אותה.

לפי הדוח של Patchstack על מצב אבטחת וורדפרס ב־2026, בשנת 2025 דווחו 11,334 פרצות חדשות במערכת האקולוגית של וורדפרס. זו עלייה של 42% לעומת 2024. ‏91% מהן נמצאו בתוספים ו־9% בערכות עיצוב. בליבה עצמה דווחו רק 6 פרצות, כולן בדרגת חומרה נמוכה.

ההגנה מתחלקת לארבע שכבות:

• תוכנה: ליבה, תוספים וערכת עיצוב מעודכנים, וכמה שפחות רכיבים.
• גישה: מי יכול להתחבר לממשק הניהול, באיזו הרשאה ועם איזה אימות.
• שרת: גרסת PHP, הרשאות קבצים, HTTPS וחומת אש.
• התאוששות: גיבוי שאפשר באמת לשחזר ממנו אם משהו משתבש.

הנושא רלוונטי לכל אתר וורדפרס: אתר תדמית, בלוג או חנות WooCommerce. ככל שיש באתר יותר משתמשים, טפסים, תשלומים ותוספים, נדרשת יותר משמעת בתחזוקה. אם אתם רק בונים אתר, התחילו במדריך הוורדפרס שמסביר את סדר העבודה.

למה התוספים הם נקודת התורפה המרכזית

כל תוסף הוא קוד של מפתח חיצוני שרץ על האתר שלכם ויש לו גישה למסד הנתונים. חלק מהתוספים מתוחזקים על ידי חברות גדולות, וחלק על ידי מפתח יחיד שהפסיק לעדכן. לפי אותו דוח של Patchstack, ל־46% מהפרצות שנחשפו בפומבי ב־2025 עוד לא היה תיקון מהמפתח בזמן החשיפה.

חלון הזמן לתגובה קצר. לפי Patchstack, בפרצות שנוצלו בהיקף הרחב ביותר עברו בחציון (משוקלל) 5 שעות מהחשיפה ועד ניצול המוני, ובערך מחצית מהפרצות בעלות ההשפעה הגבוהה נוצלו בתוך 24 שעות. אתר שמתעדכן פעם בחודש עלול להישאר חשוף שבועות אחרי שהפרצה כבר מנוצלת.

איך בוחרים תוסף בטוח יותר

• בדקו במאגר wordpress.org מתי התוסף עודכן לאחרונה ועם איזו גרסת וורדפרס הוא נבדק.
• העדיפו תוסף שעושה דבר אחד על פני חבילה שמתקינה עשרות פיצ'רים שלא תשתמשו בהם.
• אל תתקינו גרסאות "פרו" פרוצות (nulled) מאתרים לא רשמיים. הן מקור נפוץ לקוד זדוני.
• מחקו תוספים וערכות עיצוב שאינם בשימוש. השבתה בלבד משאירה את הקבצים על השרת.

צ'ק־ליסט: 10 צעדים לאבטחת אתר וורדפרס

הסדר כאן מבוסס על המלצות ההקשחה (Hardening) בתיעוד הרשמי של וורדפרס, מהצעדים הבסיסיים ועד הטכניים יותר.

1. עדכנו את הליבה. בתיעוד הרשמי כתוב שגרסאות ישנות כבר לא מקבלות תיקוני אבטחה. עדכונים אוטומטיים לליבה קיימים מאז גרסה 3.7.
2. הפעילו עדכונים אוטומטיים לתוספים ולערכות העיצוב. מאז וורדפרס 5.5 אפשר להפעיל אותם לכל תוסף בנפרד במסך התוספים, בעמודה "עדכון אוטומטי", או לכמה תוספים יחד דרך הפעולות הקבוצתיות. ערכות עיצוב מפעילים אחת־אחת במסך העיצוב. ברירת המחדל היא בדיקה פעמיים ביום, ומייל נשלח אחרי כל ניסיון עדכון, מוצלח או כושל.
3. מחקו את מה שלא בשימוש: תוספים, ערכות עיצוב ישנות ומשתמשים שכבר לא עובדים איתכם.
4. סיסמה ייחודית וחזקה לכל משתמש. מנהל סיסמאות פותר את הבעיה. השוואה ביניהם מופיעה במדריך מנהל סיסמאות: Bitwarden, ‏1Password והחלופות.
5. אימות דו־שלבי (2FA) לחשבונות המנהל. התיעוד הרשמי ממליץ עליו כשכבת הגנה נוספת. בליבה אין אימות דו־שלבי מובנה, ולכן מפעילים אותו דרך תוסף.
6. הרשאות מינימליות. כותב תוכן יקבל הרשאת "עורך" או "כותב", במקום "מנהל מערכת". לכל אדם יהיה חשבון משלו.
7. כבו את עורך הקבצים בממשק הניהול. מוסיפים לקובץ wp-config.php את השורה define( 'DISALLOW_FILE_EDIT', true );. לפי התיעוד, העורך הזה הוא לעיתים קרובות הכלי הראשון שתוקף משתמש בו אחרי שהצליח להתחבר. ההגדרה לא מונעת העלאה של קבצים זדוניים בדרכים אחרות.
8. הגבילו הרשאות קבצים. ההמלצה הרשמית: 755 לתיקיות ו־644 לקבצים. את wp-config.php אפשר להגביל ל־400 או 440, כך שרק אתם והשרת תוכלו לקרוא אותו.
9. HTTPS וגרסת PHP עדכנית. דרישות המערכת של וורדפרס ממליצות על PHP 8.3 ומעלה, על MySQL 8.0 ומעלה או MariaDB 10.11 ומעלה, ועל אחסון שתומך ב־HTTPS. לפי אותו עמוד, גרסאות ישנות יותר של PHP ו־MySQL עדיין עובדות, אבל כבר לא נתמכות ועלולות לחשוף את האתר לפרצות.
10. גיבוי סדיר מחוץ לשרת. גבו קבצים ומסד נתונים, ושמרו כמה גרסאות לאורך זמן. כך יהיה לכם עותק נקי מלפני הפריצה.

תוספי אבטחה, חומת אש וגיבוי: מה כל שכבה עושה

אין כלי אחד שמכסה הכול. כדאי להבין מה כל סוג כלי נותן, כדי לא לשלם פעמיים על אותה הגנה ולא להשאיר חור.

לגבי Wordfence: לפי עמוד התוסף במאגר wordpress.org, הגרסה החינמית מקבלת חוקי חומת אש וחתימות של קוד זדוני באיחור של 30 יום, והגרסה בתשלום (Premium) מקבלת אותם בזמן אמת. לאתר עסקי שתלוי בתוספים רבים זה הבדל משמעותי, בהתחשב בכך שפרצות רבות מנוצלות בתוך שעות. את המחיר העדכני בדקו באתר של Wordfence.

ל־Cloudflare יש גם תוכנית חינמית. ההסבר על חיבור אתר ועל מה שכלול בה נמצא במדריך איך מחברים אתר ל־Cloudflare.

טעויות נפוצות שמשאירות את האתר פתוח

• להתקין שלושה תוספי אבטחה במקביל. הם מתנגשים, מאטים את האתר ולא מוסיפים הגנה. בחרו אחד, והוסיפו חומת אש בענן אם צריך.
• גיבוי שנשמר רק על אותו שרת. אם השרת נפרץ או נמחק, גם הגיבוי הולך. שמרו עותק במיקום חיצוני.
• גיבוי שאף פעם לא נבדק. נסו לשחזר אותו פעם ברבעון לאתר בדיקה (Staging). רק כך תדעו שהוא עובד.
• חשבון מנהל משותף לכל הצוות או לפרילנסרים. אי אפשר לדעת מי עשה מה, ואי אפשר לבטל גישה לאדם אחד בלי להחליף סיסמה לכולם.
• שינוי שם המשתמש admin כפתרון היחיד. זה עוזר מעט מול ניחוש סיסמאות אוטומטי. סיסמה חזקה ואימות דו־שלבי עוזרים הרבה יותר.
• להתעלם ממיילי העדכון האוטומטי. המייל מספר אם עדכון נכשל, ועדכון שנכשל משאיר את הגרסה הפגיעה על האתר. אם העדכונים לא רצים בכלל, בדקו בכלים > בריאות האתר אם יש שגיאה במשימות התזמון (Cron).

עוד שתי המלצות מהתיעוד הרשמי: להוריד את וורדפרס רק מ־wordpress.org, ולשקול שינוי של קידומת הטבלאות (wp_) בזמן ההתקנה, כי חלק ממתקפות הזרקת SQL שפורסמו מניחות שהקידומת היא ברירת המחדל.

מה עושים אם האתר כבר נפרץ

סימנים נפוצים: הפניות לאתרים זרים, משתמשי מנהל שלא יצרתם, קבצים חדשים בתיקיות התוספים, אזהרה בדפדפן או ב־Google Search Console, או מכתב מחברת האחסון.

1. אל תמחקו מיד. קודם שמרו עותק של המצב הנוכחי. הוא יעזור להבין מאיפה נכנסו.
2. החליפו את כל הסיסמאות: משתמשי וורדפרס, מסד הנתונים, FTP/SFTP, לוח הבקרה של האחסון והמייל שמקושר לחשבון המנהל.
3. עברו על רשימת המשתמשים ומחקו כל חשבון לא מוכר.
4. שחזרו מגיבוי נקי מלפני מועד הפריצה. אם אין כזה, הריצו סריקה בתוסף אבטחה והחליפו את קבצי הליבה והתוספים בעותקים טריים מהמקור.
5. עדכנו מיד את הרכיב הפגיע, או הסירו אותו. בלי זה הפריצה תחזור.
6. פנו לחברת האחסון. לרבות מהן יש כלי סריקה ויומני שרת שמראים מאיפה הגיעה החדירה.

באתר שמטפל בפרטים אישיים של לקוחות, כמו טפסי לידים, הזמנות או רשימת תפוצה, כדאי לערב גם יועץ משפטי. הוא יבדוק אם האירוע מחייב דיווח לפי דיני הגנת הפרטיות בישראל.

תחזוקה עצמית או גורם מקצועי: איך מחליטים

אתר תדמית קטן עם חמישה או שישה תוספים מוכרים אפשר לתחזק לבד: עדכונים אוטומטיים, אימות דו־שלבי, גיבוי חיצוני וכניסה שבועית לממשק כדי לבדוק התראות. הבסיס מוסבר גם במדריך בניית אתר וורדפרס למתחילים.

גורם מקצועי שווה את העלות כשמתקיים אחד מאלה:

• האתר מוכר אונליין, מקבל תשלומים או שומר מידע אישי של לקוחות.
• יש באתר תוספים בהתאמה אישית או קוד שנכתב במיוחד, שעדכון אוטומטי עלול לשבור.
• אין לאף אחד בעסק זמן לעקוב אחרי התראות ועדכונים כל שבוע.
• האתר כבר נפרץ פעם אחת.

נניח שיש לכם חנות עם 25 תוספים, וכל עדכון של אחד מהם עלול לשבור את עמוד התשלום. במצב כזה צריך אתר בדיקה, בדיקה של כל עדכון לפני שהוא עולה לאתר החי, ניטור וגיבוי יומי. זו עבודה שחוזרת על עצמה וקל להזניח אותה.

את העבודה הזו עושה ברנדיני, הסוכנות שמפעילה את המגזין, בבנייה ובתחזוקה של אתרי וורדפרס לעסקים. מי שבוחר בגורם חיצוני כלשהו צריך לבקש בכתב: באיזו תדירות מעדכנים, איפה נשמר הגיבוי, מי מחזיק את הסיסמאות ומה זמן התגובה לפריצה.

שאלות נפוצות

האם וורדפרס פחות בטוחה מ־Wix או משופיפיי?

ליבת וורדפרס עצמה כמעט לא פגיעה. לפי Patchstack, ב־2025 דווחו בה רק 6 פרצות, כולן בחומרה נמוכה. הסיכון נובע מהתוספים ומהתחזוקה, שבוורדפרס באחריותכם, ובפלטפורמות סגורות כמו Wix באחריות החברה.

האם מספיק להתקין Wordfence?

לא. תוסף אבטחה מוסיף סריקה, חסימת ניסיונות התחברות ואימות דו־שלבי, אבל הוא לא מחליף עדכונים שוטפים, גיבוי חיצוני וסיסמאות חזקות.

האם להפעיל עדכונים אוטומטיים לתוספים?

ברוב האתרים כן, בתנאי שיש גיבוי אוטומטי. מאז וורדפרס 5.5 אפשר להפעיל עדכון אוטומטי לכל תוסף בנפרד, ולהשאיר עדכון ידני לתוספים רגישים, כמו מערכת התשלום.

באיזו תדירות לגבות אתר וורדפרס?

אתר שהתוכן שלו משתנה רק לעיתים רחוקות אפשר לגבות פעם בשבוע. חנות או אתר עם טפסים כדאי לגבות כל יום. בכל מקרה שמרו כמה גרסאות לאחור במיקום מחוץ לשרת.

מה זה DISALLOW_FILE_EDIT?

זו הגדרה בקובץ wp-config.php שמכבה את עורך הקבצים בממשק הניהול של וורדפרס. היא מונעת ממי שהשיג גישת מנהל לערוך את קוד התוספים וערכת העיצוב ישירות מהדפדפן.