אתר נפרץ דרך wp-file-manager: סימנים, ניקוי והגנה (כולל דף אימות מזויף של Cloudflare)

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: בפברואר 2026 אתר וורדפרס של לקוח שלנו בקלאודוויז (Cloudways) התחיל להציג דף אימות מזויף של Cloudflare. התמיכה זיהתה את התוסף wp-file-manager כמקור, מחקה אותו, והמליצה לנקות קאש, להחליף סיסמאות ולהפעיל אימות דו-שלבי. לתוסף הזה יש פרצה קריטית ידועה (CVE-2020-25213, ציון 9.8) בגרסאות לפני 6.9 (לא ידוע לנו איזו גרסה הייתה מותקנת אצלנו). אם הוא מותקן אצלכם ואתם לא צריכים אותו, מחקו אותו היום.

⏱ זמן ניקוי ראשוני: 1–3 שעות · רמת קושי: בינוני-מתקדם · נבדק לאחרונה מול הטיקטים שלנו ו-NVD: 07.11.2026

העמוד מבוסס על פניות תמיכה אמיתיות שלנו בקלאודוויז: טיקט #793097 מ-8.2.2026, ושלוש פריצות קודמות לאתרי לקוחות (#496791, ‏#499628 מ-2023 ו-#675382 מ-2025). פרטי האתרים והלקוחות הוסרו.

מה זה wp-file-manager ולמה הוא מסוכן?

wp-file-manager (בשם המלא File Manager) הוא תוסף וורדפרס שנותן מנהל קבצים מתוך לוח הבקרה. הוא בנוי על הספרייה elFinder, ולפי עמוד התוסף ב-WordPress.org יש לו מעל מיליון התקנות פעילות.

הבעיה היא העיקרון: תוסף שיכול לכתוב כל קובץ בשרת הוא מטרה מצוינת לתוקפים. ב-2020 נמצאה בו פרצה שבה הקובץ lib/php/connector.minimal.php היה נגיש ישירות. לפי WPScan, תוקף בלי התחברות יכול היה להעלות קובץ PHP ולהריץ קוד. הבעיה תוקנה בגרסה 6.9.

לפי NVD, הפרצה פורסמה ב-9.9.2020 עם ציון CVSS של 9.8, ונוספה לקטלוג הפרצות המנוצלות של CISA ב-3.11.2021. חשוב להיות הוגנים: גרסאות מעודכנות של התוסף לא כוללות את הפרצה הזו. בטיקט שלנו לא נמסרה גרסת התוסף שהותקנה, ולכן אנחנו לא יודעים אם זו הייתה הפרצה המדויקת.

מה קרה אצלנו? הסיפור מטיקט #793097

1. 8.2.2026, בצ'אט: דיווחנו שאתר של לקוח מציג דף "אימות" שנראה כמו של Cloudflare. הצ'אט נענה תוך דקות והועבר לטיקט.
2. הבדיקה: התמיכה זיהתה שקוד זדוני הוזרק לאתר, ושהמקור הוא התוסף wp-file-manager.
3. הפעולות: התוסף נמחק, ונשלח דיווח "false negative" ל-Imunify360. כלומר, הסורק לא זיהה את ההדבקה בעצמו.
4. ההמלצות: לנקות את כל שכבות הקאש, להחליף סיסמאות ולהפעיל אימות דו-שלבי.
5. זמן: כ-13.5 שעות מההעברה לטיקט ועד תשובת התיקון. הטיקט סומן כפתור.

דף אימות מזויף מסוכן במיוחד, כי הגולשים סומכים על העיצוב של Cloudflare. בדיקה אמיתית של Cloudflare לא מבקשת מכם להעתיק פקודה, להוריד קובץ או להתקין משהו. אם דף כזה מופיע באתר שלכם, התייחסו אליו כאל פריצה.

איך יודעים שהאתר נפרץ דרך תוסף מנהל קבצים?

חפשו את הסימנים האלה. כל אחד מהם מצדיק בדיקה מלאה:

• דף ביניים מוזר לגולשים: "אימות", "בדיקת דפדפן" או CAPTCHA שלא הגדרתם.
• קבצי PHP חדשים בתיקיות שלא אמורות להכיל קוד, כמו uploads.
• שורות זרות ב-wp-config.php או ב-.htaccess, כולל בתיקיית wp-admin.
• תוספים שלא ניתן להתקין או למחוק, וסריקות של Wordfence שנכשלות.
• הפניות לאתרים זרים רק לגולשים מגוגל או רק בנייד.

אם רואים טקסט ביפנית בתוצאות החיפוש, זה סוג אחר של פריצה. ראו פריצת ספאם יפני.

איך מנקים אתר שנפרץ דרך wp-file-manager בקלאודוויז?

הסדר חשוב: קודם סוגרים את הדלת, אחר כך מנקים, ובסוף מחליפים מפתחות. הצעדים הכלליים לאתר פרוץ נמצאים במדריך אתר וורדפרס נפרץ: 10 צעדים ראשונים. כאן הצעדים הספציפיים לתוסף הזה:

1. גבו את המצב הנוכחי כראיה, לפני שמוחקים משהו. ראו גיבוי ושחזור בקלאודוויז.
2. התחברו ב-SSH לתיקיית public_html ובדקו את התוספים: wp plugin list.
3. מחקו את התוסף: wp plugin delete wp-file-manager. השבתה לא מספיקה, כי הקבצים נשארים בשרת.
4. בדקו את קבצי הליבה: wp core verify-checksums, ואת התוספים מהמאגר הרשמי: wp plugin verify-checksums --all. קבצים ששונו או נוספו יופיעו ברשימה.
5. חפשו קבצי PHP שהשתנו לאחרונה: find . -name "*.php" -mtime -14, ובמיוחד קבצי PHP בתוך wp-content/uploads.
6. פתחו את wp-config.php ואת קבצי .htaccess (בשורש וב-wp-admin) והשוו לגרסה נקייה.
7. נקו קאש בכל השכבות: Varnish ו-Breeze בפאנל, וגם ב-Cloudflare. אחרת הגולשים ימשיכו לקבל את הדף המזויף.
8. החליפו סיסמאות: משתמשי וורדפרס (בדגש על מנהלים), SFTP/SSH, מסד הנתונים ומפתחות ה-salt ב-wp-config.php.
9. הפעילו אימות דו-שלבי לחשבון קלאודוויז ולמנהלי וורדפרס. ראו אימות דו-שלבי בקלאודוויז.

למה האתר נפרץ שוב אחרי הניקוי?

כי לרוב נשארת דלת אחורית. בטיקט #499628 מספטמבר 2023 אתר של לקוח נפרץ בפעם השלישית. נוזקה הוסיפה שוב ושוב שורות ל-wp-config.php ול-wp-admin/.htaccess, ובשרת ישב קובץ PHP זדוני שהתחזה לקובץ feed.

התמיכה הסירה את הקוד המוזרק, בדקה את קבצי הליבה, מחקה תוספים לא פעילים, הפעילה מחדש את MySQL והריצה סריקת GOTMLS. את הניקוי המלא היא סירבה לקחת, והמליצה על שירות חיצוני כמו Sucuri. עוד פרט מהטיקט: השרת היה בגודל 2GB עם 11 אתרים, ופריצה באתר אחד מסכנת את השכנים שלו.

שני מקרים נוספים מההיסטוריה שלנו:

טיקט	מה קרה	מה עזר	תוצאה
#496791 (10.9.2023)	שגיאה קטלנית בדף ההתחברות	עדכון תוסף ישן והורדה מחדש של קבצי הליבה	חלקי, הומלץ לשחזר ולסרוק
#499628 (20.9.2023)	פריצה שלישית, קבצים מוזרקים חוזרים	ניקוי ידני, GOTMLS, מחיקת תוספים לא פעילים	חלקי, הופנינו לשירות חיצוני
#675382 (26.6.2025)	תוסף פרוץ (nulled) עם קוד eval, כ-825 זיהויים	השבתת התוסף, ניקוי עם Malware Protection בתשלום	חלקי, שחזור לגיבוי ישן שבר את האתר
#793097 (8.2.2026)	דף Cloudflare מזויף	מחיקת wp-file-manager, קאש, סיסמאות, 2FA	נפתר

הלקח מ-#675382: שחזור לגיבוי ישן לא תמיד מציל. אם הגיבוי כבר נגוע או ישן מדי, האתר חוזר שבור או פרוץ. ניקוי יסודי מפורט במדריך הסרת נוזקות מוורדפרס.

מה קלאודוויז עושה ומה לא עושה בפריצה?

לפי הטיקטים שלנו, התמיכה הרגילה עוזרת לזהות את המקור ומוחקת דברים ברורים, אבל לא לוקחת אחריות על ניקוי מלא. זה הוגן, כי האפליקציה והתוספים באחריותכם.

לניקוי אוטומטי יש תוסף בתשלום, Malware Protection. לפי מאמר ה-KB של קלאודוויז, הוא מבוסס על Imunify360 וכולל סריקה בזמן אמת, ניקוי אוטומטי של קוד נגוע, וניקוי של שדות נגועים במסד הנתונים בוורדפרס. אצלנו הוא ניקה כ-825 זיהויים בטיקט #675382, אבל בטיקט #793097 הסורק לא זיהה את ההדבקה. פרטים במדריך Malware Protection בקלאודוויז.

אזהרה מהשטח: אל תדביקו סיסמאות, פרטי גישה או מפתחות בצ'אט התמיכה. אם התמיכה צריכה גישה, הוסיפו לה משתמש זמני ומחקו אותו בסוף.

במה להחליף את wp-file-manager?

ברוב המקרים לא צריך תוסף בכלל. בקלאודוויז יש לכם גישה ישירה לקבצים דרך SFTP ו-SSH, עם משתמשים נפרדים לכל אפליקציה. ראו מנהל קבצים בקלאודוויז. ועוד שכבה שמצמצמת נזק מתוסף פרוץ: חסימת גישה ישירה לקובצי PHP בפאנל של קלאודוויז.

דרך	סיכון	מתי מתאים
תוסף מנהל קבצים בוורדפרס	גבוה: כל מנהל וורדפרס, או תוקף שהשיג גישה, כותב קבצים בשרת	כמעט אף פעם. אם חייבים, מעדכנים ומוחקים מיד בסיום
SFTP עם משתמש אפליקציה	נמוך, כשהסיסמה חזקה	העלאת קבצים ועריכה מהמחשב
SSH עם מפתח והגבלת IP	נמוך מאוד	מפתחים, WP-CLI ובדיקות

מה הצ'קליסט למניעת פריצה דרך תוספים?

• מחקו wp-file-manager וכל תוסף מנהל קבצים אחר מכל האתרים. השתמשו ב-SFTP.
• מחקו תוספים לא פעילים. תוסף מושבת עדיין יושב בשרת.
• אל תתקינו תוספים "nulled" (גרסאות פרוצות של תוספים בתשלום).
• עדכנו תוספים בשיטה מסודרת, לפי מדיניות עדכונים לוורדפרס.
• הפעילו 2FA בחשבון קלאודוויז ולכל מנהלי וורדפרס.
• שמרו גיבויים חיצוניים לכמה שבועות אחורה, כדי שיהיה גיבוי נקי לחזור אליו.
• הפרידו אתרי לקוחות לשרתים לפי סיכון. ההבדל בין חומת אש של שרת לתוסף אבטחה מוסבר במדריך Wordfence מול אבטחת שרת.

שאלות נפוצות

מדריכים קשורים

• אתר וורדפרס נפרץ? 10 צעדים ראשונים
• הסרת נוזקות מוורדפרס
• הקשחת אבטחה בקלאודוויז
• הביקורת שלנו על קלאודוויז
• כל המדריכים בתחום: אבטחה · אבטחת אתרים

מקורות

• CVE-2020-25213 – NIST National Vulnerability Database
• File Manager 6.0-6.9 – Unauthenticated Arbitrary File Upload leading to RCE – WPScan
• File Manager (wp-file-manager) – WordPress.org
• How to Use Malware Protection to Protect Your Applications – Cloudways KB
• Enabling Two-Factor Authentication for Cloudways Account – Cloudways KB
• טיקטים #496791, ‏#499628 (2023), ‏#675382 (2025), ‏#793097 (8.2.2026) בחשבון קלאודוויז שלנו

מקור רשמי: How to Use Malware Protection to Protect Your Applications (Cloudways Knowledge Base). העמוד נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים