Twice this year, attackers started exploiting a critical WordPress core flaw within hours of the fix going public: the wp2shell flaws in July, and CVE-2026-87902 on September 22, the day WordPress 7.1.2 shipped. If your sites wait for a monthly maintenance window, your patch policy is the first thing to change.
جولائی میں wp2shell کے ساتھ کیا ہوا تھا۔
Two flaws, tracked as CVE-2026-60137 (SQL injection) and CVE-2026-63030 (arbitrary code execution), can be chained to run code on a WordPress server without logging in. Searchlight Cyber reported that they affect WordPress 6.9.0 through 6.9.4 and 7.0.0 through 7.0.1, even on a standard install with no plugins. WordPress released fixes in versions 6.9.5 and 7.0.2.
سیکیورٹی فرموں نے انکشاف کے چند گھنٹوں کے اندر پہلے حملوں کی اطلاع دی، اور اس کے فوراً بعد دیگر محققین کے تصوراتی کارناموں کا ثبوت سامنے آیا۔ Automattic نے TechCrunch کو بتایا کہ WordPress.com، Pressable، WPVIP اور WP.cloud کو پیچ کے عوامی ہونے سے پہلے ہی محفوظ کیا گیا تھا، اس لیے خود میزبان سائٹس جو خود بخود اپ ڈیٹ نہیں ہوئیں سب سے زیادہ خطرہ لاحق ہیں۔
ستمبر کو پھر کیا ہوا 22
ستمبر 22 کو، WordPress بھیج دیا گیا ورژن 7.1.2 CVE-2026-87902 کے لیے درستگی کے ساتھ، یہ ایک اہم خامی ہے کہ کور صفحہ کے تمثیلوں کو کیسے حل کرتا ہے۔ WordPress.org کے اعلان کا حوالہ دیتے ہوئے رپورٹس CVSS 4.0 پر اسے 9.2 ریٹ کرتی ہیں اور کہتے ہیں کہ یہ 4.7.0 سے 7.1.1 تک ریلیز کو متاثر کرتی ہے جب تک کہ سیکیورٹی بیک پورٹ لاگو نہ کیا گیا ہو۔ WordPress نے پرانی برانچوں میں بھی فکس کو بیک پورٹ کیا، بشمول 7.0.6 اور 6.9.9۔
اطلاعات کے مطابق، Patchstack نے اسی دن 11:49 UTC پر استحصال کی پہلی کوشش ریکارڈ کی۔ ہماری 7.1.2 سیکیورٹی اپ ڈیٹ چیک لسٹ سائٹ پر کن چیزوں کی تصدیق کرنی ہے۔
کیا AI تبدیل ہوتا ہے، اور کیا ثابت نہیں ہوتا ہے۔
واچ ٹاور کے بینجمن ہیرس نے، wp2shell کے بعد Techzine کا حوالہ دیا، کہا کہ ثبوت کا تصور کوڈ کسی انکشاف کے تقریباً ایک دن بعد ظاہر ہوتا تھا اور اب گھنٹوں میں ظاہر ہوتا ہے، جزوی طور پر اس لیے کہ AI سے چلنے والے ٹولز محققین اور حملہ آوروں کو تیزی سے تجزیہ کرنے اور خودکار کرنے میں مدد کرتے ہیں۔
ماڈل فروش بھی اسی طرح آگے بڑھ رہے ہیں۔ گوگل کا کہنا ہے کہ اس کا نیا Gemini 4 Argon خود مختار طور پر سافٹ ویئر کی اہم کمزوریوں کو تلاش، توثیق اور پیچ کر سکتا ہے، اور یہ سب سے پہلے قابل اعتماد سائبر محافظوں کو جلد رسائی دے رہا ہے۔ OpenAI اپنے قیمتوں کے صفحہ پر الگ الگ سائبر فوکسڈ ماڈلز کی فہرست دیتا ہے۔
اس میں سے کوئی بھی ثابت نہیں کرتا ہے کہ AI نے کسی خاص حملے کا سبب بنا۔ عملی نقطہ زیادہ تنگ ہے: عوامی مشورے اور استحصال کے درمیان کم وقت کے لیے منصوبہ بندی کریں۔
ایک پیچ پالیسی جو آپ اپنا سکتے ہیں۔
یہ اہداف ایک نقطہ آغاز ہیں، معیاری نہیں۔ انہیں اپنے خطرے کے مطابق اور آپ کتنی جلدی جانچ کر سکتے ہیں ایڈجسٹ کریں۔
ان خیالات کو عملی شکل دیں۔
ایک مخصوص اصلاح سے لے کر مکمل ویب سائٹ تک، ہم کام کا دائرہ طے کرنے اور اسے مکمل کرنے میں مدد کرتے ہیں۔
میری ویب سائٹ پر بات کریںجدید WordPress سیکیورٹی سلوشنزاپنے اہداف کا اشتراک کریں۔ ہم عام طور پر سوالات اور عملی اقدامات کے ساتھ 4 گھنٹوں کے اندر جواب دیتے ہیں۔
اسے جگہ پر رکھنے کے لیے پانچ اقدامات
- جانیں کہ آپ کیا چلاتے ہیں۔ ہر سائٹ کے لیے بنیادی، پلگ ان اور تھیم ورژن کی فہرست بنائیں۔ WP-CLI کے ساتھ:
wp کور ورژن wp core check-update wp plugin list --update=available wp theme list --update=available- صحیح ذرائع دیکھیں۔ WordPress.org کی نیوز فیڈ اور اپنے میزبان کے حفاظتی نوٹس پر عمل کریں، اور ایک فرد کو روزانہ انہیں پڑھنے کے لیے تفویض کریں۔
- سٹیجنگ کا استعمال کریں، لیکن اسے ٹائم باکس. ایک کاپی پر اہم اپ ڈیٹ کی جانچ کریں، اہم سفروں کو چیک کریں، پھر تعینات کریں۔ اگر ٹیسٹنگ اسٹالز، پیچ کی پیداوار اور ٹیسٹ کے بعد.
- خلا کو حفاظتی پرت سے ڈھانپیں۔ ایک ویب ایپلیکیشن فائر وال آپ کے پیچ ختم کرنے سے پہلے معلوم استحصالی نمونوں کو روک سکتا ہے۔ Techzine کے مطابق، wp2shell کے لیے Cloudflare نے پتہ لگانے کے اضافی قواعد کو آن کر دیا ہے۔ فائر وال خطرے کو کم کرتا ہے۔ یہ اپ ڈیٹ کا متبادل نہیں ہے۔
- تصدیق کریں اور ریکارڈ کریں۔ انسٹال شدہ ورژن کو نوٹ کریں، کس نے کیا چیک کیا، اور کیا ابھی بھی کھلا ہے۔
ہمارا سیکورٹی پیچ ٹریج گائیڈ فیصلے کے حکم کو مزید تفصیل سے احاطہ کرتا ہے۔
اگر آپ کسی نازک پیچ پر پیچھے تھے۔
کسی ایسی سائٹ کا علاج کریں جس نے ممکنہ طور پر سمجھوتہ کیے بغیر اپ ڈیٹ کیے متاثرہ ورژن چلایا ہو۔ نئے ایڈمنسٹریٹر اکاؤنٹس، تبدیل شدہ بنیادی فائلوں اور غیر مانوس پی ایچ پی فائلوں کو چیک کریں:
wp صارف کی فہرست --role=administrator wp core verify-checksumsاگر کچھ غلط لگتا ہے تو تبدیلیاں کرنا بند کریں اور مدد حاصل کریں۔ ہماری ایمرجنسی ہیکڈ سائٹ ریکوری سروس آپ کو مسئلہ پر قابو پانے اور اسے صاف کرنے میں مدد مل سکتی ہے۔
اکثر پوچھے گئے سوالات
مجھے ایک اہم WordPress خطرے کو کتنی تیزی سے پیچ کرنا چاہیے؟
24 گھنٹے کا مقصد، اور 72 سے زیادہ نہیں۔ گھنٹوں کے اندر ٹرائیج کریں، پھر اہم سفر کے فوری امتحان میں کامیاب ہونے کے بعد پروڈکشن کو اپ ڈیٹ کریں۔
کیا خودکار اپ ڈیٹس پیچ پالیسی کو غیر ضروری بناتے ہیں؟
نہیں۔ ایک پالیسی آپ کو بتاتی ہے کہ کون چیک کرتا ہے، کتنی تیزی سے اور کیا ہوتا ہے جب کوئی اپ ڈیٹ ناکام ہو جاتا ہے۔
کیا AI WordPress کم محفوظ بنا رہا ہے؟
ہم نے جن ذرائع کا جائزہ لیا ان میں کوئی بھی چیز WordPress خود کو کمزور ہونے سے ظاہر نہیں کرتی ہے۔ ذرائع جو بیان کرتے ہیں وہ یہ ہے کہ انکشاف کے بعد خامیوں کا کتنی تیزی سے تجزیہ کیا جاتا ہے اور ان کا فائدہ اٹھایا جاتا ہے۔
یقین نہیں ہے کہ آپ کی سائٹس کا احاطہ کیا گیا ہے؟
ہم دوڑتے ہیں۔ WordPress دیکھ بھال اور سیکورٹی کام جس میں پیچ ٹریکنگ، سٹیجنگ ٹیسٹ اور مانیٹرنگ شامل ہے۔ ہمیں اپنی سائٹ کی فہرست بھیجیں اور ہم آپ کو بتائیں گے کہ خلا کہاں ہے۔
