بدأ المهاجمون مرتين هذا العام في استغلال عيب أساسي WordPress حاسم في غضون ساعات من نشر الإصلاح للعامة: عيوب wp2shell في يوليو، وCVE-2026-87902 في سبتمبر 22، يوم WordPress 7.1.2 الذي تم شحنه. إذا كانت مواقعك تنتظر فترة صيانة شهرية، فإن سياسة التصحيح الخاصة بك هي أول شيء يجب تغييره.
ماذا حدث مع wp2shell في يوليو
يمكن ربط عيبين، تم تتبعهما كـ CVE-2026-60137 (حقن SQL) وCVE-2026-63030 (تنفيذ تعليمات برمجية عشوائية)، لتشغيل التعليمات البرمجية على خادم WordPress دون تسجيل الدخول. ذكرت Searchlight Cyber أنها تؤثر على WordPress 6.9.0 خلال 6.9.4 و من 7.0.0 إلى 7.0.1، حتى عند التثبيت القياسي بدون مكونات إضافية. WordPress تم إصدار الإصلاحات في الإصدارات 6.9.5 و 7.0.2.
أبلغت الشركات الأمنية عن الهجمات الأولى في غضون ساعات من الكشف عنها، وظهرت بعد فترة وجيزة عمليات استغلال لإثبات المفهوم من باحثين آخرين. أخبر Automattic موقع TechCrunch أن WordPress.com وPresable وWPVIP وWP.cloud كانت محمية قبل أن تصبح التصحيحات عامة، لذا فإن المواقع المستضافة ذاتيًا والتي لم يتم تحديثها تلقائيًا تحمل أكبر قدر من المخاطر.
ماذا حدث مرة أخرى في سبتمبر 22
في سبتمبر 22، WordPress الإصدار الذي تم شحنه 7.1.2 مع إصلاح لـ CVE-2026-87902، وهو عيب خطير في كيفية حل قوالب الصفحة الأساسية. التقارير التي تستشهد بإعلان WordPress.org صنفته 9.2 على CVSS 4.0 وتقول إنه يؤثر على الإصدارات من 4.7.0 حتى 7.1.1 ما لم يتم تطبيق منفذ خلفي أمني. WordPress قام أيضًا بإرجاع الإصلاح إلى الفروع الأقدم، بما في ذلك 7.0.6 و6.9.9.
سجلت Patchstack أول محاولة استغلال في 11:49 UTC في نفس اليوم، وفقًا للتقارير. ملكنا 7.1.2 قائمة التحقق من التحديث الأمني يغطي ما يجب التحقق منه على الموقع.
ما الذي يتغير في الذكاء الاصطناعي، وما الذي لم يتم إثباته؟
قال بنيامين هاريس من WatchTower، نقلاً عن Techzine بعد wp2shell، إن كود إثبات المفهوم كان يظهر بعد يوم تقريبًا من الكشف ويظهر الآن في غضون ساعات، ويرجع ذلك جزئيًا إلى أن الأدوات التي تعمل بالذكاء الاصطناعي تساعد الباحثين والمهاجمين على التحليل والتشغيل الآلي بشكل أسرع.
يتحرك بائعو النماذج بنفس الطريقة. تقول Google إن منتجها الجديد Gemini 4 Argon يمكنه بشكل مستقل العثور على نقاط الضعف المهمة في البرامج والتحقق من صحتها وتصحيحها، كما أنه يتيح الوصول المبكر للمدافعين السيبرانيين الموثوقين أولاً. OpenAI يسرد نماذج منفصلة تركز على الإنترنت في صفحة التسعير الخاصة به.
لا شيء من هذا يثبت أن الذكاء الاصطناعي تسبب في هجوم معين. النقطة العملية أضيق: التخطيط لوقت أقل بين الاستشارة العامة والاستغلال.
سياسة التصحيح التي يمكنك اعتمادها
وهذه الأهداف هي نقطة انطلاق وليست معيارا. اضبطها وفقًا لمخاطرك ومدى سرعة إجراء الاختبار.
حوّل هذه الأفكار إلى نتائج.
من تحسين محدد إلى موقع كامل، نساعدك على تحديد نطاق العمل وتنفيذه.
ناقش موقعيحلول الأمان المتقدمة لـ WordPressشاركونا أهدافكم. عادةً ما نرد خلال 4 ساعات مع طرح الأسئلة والخطوات العملية التالية.
خمس خطوات لوضعه في مكانه
- تعرف على ما تقوم بتشغيله. قم بإدراج الإصدارات الأساسية والمكونات الإضافية والموضوعات لكل موقع. مع WP-CLI:
إصدار wp الأساسي فحص تحديث wp الأساسي قائمة المكونات الإضافية wp - تحديث = قائمة سمات wp المتاحة - تحديث = متاح- مشاهدة المصادر الصحيحة. اتبع موجز أخبار WordPress.org والإشعارات الأمنية لمضيفك، وقم بتعيين شخص واحد لقراءتها يوميًا.
- استخدم التدريج، ولكن ضعه في إطار زمني. اختبر التحديث المهم على نسخة، وتحقق من الرحلات الرئيسية، ثم قم بالنشر. في حالة توقف الاختبار، قم بإنتاج التصحيح واختباره بعد ذلك.
- قم بتغطية الفجوة بطبقة واقية. يمكن لجدار حماية تطبيق الويب حظر أنماط الاستغلال المعروفة قبل الانتهاء من التصحيح. Cloudflare قام بتشغيل قواعد الكشف الإضافية لـ wp2shell، وفقًا لـ Techzine. جدار الحماية يقلل من المخاطر. إنه ليس بديلاً عن التحديث.
- التحقق والتسجيل. لاحظ الإصدار المثبت، ومن قام بالفحص، وما الذي لا يزال مفتوحًا.
ملكنا دليل فرز التصحيح الأمني يغطي أمر القرار بمزيد من التفصيل.
إذا كنت متخلفًا عن التصحيح الحرج
تعامل مع الموقع الذي قام بتشغيل إصدار متأثر دون تحديث باعتباره موقعًا مخترقًا. تحقق من وجود حسابات مسؤول جديدة، وملفات أساسية تم تغييرها، وملفات PHP غير مألوفة:
قائمة المستخدمين wp --role=administrator wp core checksums checksumsإذا كان هناك أي شيء يبدو خاطئًا، فتوقف عن إجراء التغييرات واحصل على المساعدة. ملكنا خدمة استعادة مواقع الويب المخترقة الطارئة يمكن أن تساعدك على احتواء المشكلة وتنظيفها.
الأسئلة المتكررة
ما مدى سرعة تصحيح الثغرة الحرجة WordPress؟
استهدف 24 ساعة، ولا تزيد عن 72. قم بالفرز خلال ساعات، ثم قم بتحديث الإنتاج بمجرد اجتياز الرحلات الرئيسية لاختبار سريع.
هل تجعل التحديثات التلقائية سياسة التصحيح غير ضرورية؟
لا، التحديثات التلقائية تساعد، ولكن لا يتم تمكينها في كل المواقع، وغالبًا ما يتم تحديث المكونات الإضافية والموضوعات بشكل منفصل. تخبرك السياسة بمن يقوم بالتحقق ومدى سرعته وماذا يحدث عند فشل التحديث.
هل الذكاء الاصطناعي يجعل WordPress أقل أمانًا؟
لا شيء في المصادر التي استعرضناها يُظهر أن WordPress نفسه أصبح أضعف. ما تصفه المصادر هو مدى سرعة تحليل العيوب واستغلالها بعد الكشف عنها.
لست متأكدا من تغطية مواقعك؟
نحن نركض WordPress الصيانة و حماية العمل الذي يتضمن تتبع التصحيح واختبارات التدريج والمراقبة. أرسل لنا قائمة مواقعك وسنخبرك أين توجد الثغرات.
