איך מוודאים שההתראה נוגעת לאתר
רשמו את שם התוסף המדויק, המפתח, הגרסה המותקנת וקישור להודעת האבטחה המקורית. בדקו את טווח הגרסאות המושפעות ואת הגרסה שבה תוקנה הבעיה. שם דומה או התראה על תוסף שאינו מותקן אינם בסיס לשינוי באתר.
קראו גם תנאים מקדימים: האם נדרש חשבון משתמש, תפקיד מסוים או אפשרות מסוימת שמופעלת בתוסף. אם לא ניתן לקבוע התאמה, סמנו אותה כלא ידועה והעבירו לבדיקה. אל תשוו גרסאות לפי התאריך שבו הותקן התוסף בלבד.
איך בוחרים את הפעולה הבאה
המסגרת הבאה מחברת בין עובדות שנבדקו להחלטה תפעולית. היא אינה מחליפה את הודעת האבטחה של המפתח. חולשה נגישה באתר פעיל דורשת התייחסות מהירה יותר מתקלה ברכיב שאינו קיים בו; סימני פגיעה כבר מחייבים גם טיפול באירוע, מעבר לניהול עדכונים.
| מצב מאומת | פעולה מתאימה | תיעוד לפני סגירה |
|---|---|---|
| הגרסה מושפעת ויש תיקון | בדיקת עדכון והחלה בהקדם לפי החשיפה | גרסה לפני ואחרי ותוצאות בדיקה |
| הגרסה מושפעת ואין תיקון | הגבלת גישה, השבתה או החלפה לאחר בדיקת תלות | החלופה, השפעה עסקית ואחראי למעקב |
| נמצאו סימנים לפעילות לא מורשית | צמצום פגיעה ושימור ראיות לצד התיקון | ממצאים, היקף ושאלות שטרם נענו |
| ההתאמה לא ברורה | בירור מוצר, גרסה ותנאים מול המקור | מה חסר ומי בודק |
| הגרסה אינה בטווח הפגוע | תיעוד הסיבה ומעקב אחר עדכון ההודעה | מקור, גרסה ומועד הבדיקה |
מה אפשר ללמוד מ-CVE ומציון חומרה
CVE מאפשר לקשר בין דיווחים על אותה חולשה; CVSS מתאר חומרה טכנית. אף אחד מהם אינו מוכיח שהאתר שלכם הותקף. אל תחכו בהכרח לציון במאגר אם המפתח כבר פרסם הודעה רלוונטית ותיקון.
באפריל 2026 הודיעה NIST על תעדוף בהעשרת רשומות NVD. לכן מידע חסר או ניתוח שטרם הושלם אינם אישור שהחולשה זניחה. הסתמכו על התאמה למערכת ועל הודעת הספק, ושמרו קישור לגרסת המידע שעליה התבססה ההחלטה.
איך מעדכנים בלי לאבד את הפעילות העסקית
הכינו גיבוי שניתן לשחזר ובדקו את העדכון בסביבה מבודדת כשאפשר. הגדירו מראש בדיקות לתפקודים שהתוסף משפיע עליהם: כניסה, טופס, חיפוש או תשלום. הנחיות WooCommerce מדגישות בדיקת עדכונים לפני החלתם על החנות הפעילה.
אם יש חשיפה דחופה והבדיקה מתעכבת, שקלו עם האחראי הטכני הגבלה זמנית במקום להשאיר את הנתיב הפגיע פתוח. אין כלל אחיד שמתאים לכל תוסף. השבתה מתוך לוח הניהול אינה בהכרח מסירה כל קובץ נגיש או משנה את כל תנאי הניצול.
מתי הטיפול עדיין לא הושלם
אם אין תיקון, צריך לבחור בעל אחריות ומועד לבחינה חוזרת של ההגבלה או ההחלפה. WAF עשוי לספק שכבת הגנה רק כשיש כלל מתאים לנתיב התקיפה, אך אינו הופך קוד פגיע למתוקן. בדקו גם חסימות שווא ולא רק אם הכלל הופעל.
אחרי עדכון, ודאו את הגרסה בפועל ואת תוצאות בדיקות התפקוד. אם היו סימני פגיעה, השלימו בירור של קבצים, נתונים וגישות. חזרה עיוורת לגרסה הפגיעה בגלל תקלה עלולה לפתוח מחדש את אותה חשיפה; יש לתכנן חלופה או בידוד עד לפתרון.
