إصلاح ووردبريس صار دليل المهاجمين: أول هجوم بعد ساعات، وأكثر من 30 ألف عنوان في خمسة أيام

إصلاح ووردبريس صار دليل المهاجمين: أول هجوم بعد ساعات، وأكثر من 30 ألف عنوان في خمسة أيام

يوم 22 سبتمبر 2026، عشية إجازة اليوم الوطني، أصدرت ووردبريس التحديث الأمني 7.1.2 لإغلاق الثغرة CVE-2026-87902. الثغرة ليست في إضافة ولا في قالب، بل في نواة ووردبريس نفسها، وتشمل كل إصدار من 4.7.0 حتى 7.1.1. وفي اليوم نفسه، الساعة 11:49 بتوقيت غرينتش (2:49 ظهرا بتوقيت الرياض)، رصدت شركة الأمن Patchstack أول محاولة لاستغلالها، وبعد أقل من أربع ساعات أول محاولة لكتابة ملف على خادم الموقع.

ثم اتسع الهجوم. بحسب تقرير CrowdSec المنشور اليوم 28 سبتمبر، سجلت شبكتها 322,680 إشارة هجوم مطابقة للثغرة من 30,813 عنوان IP مختلفا بين 23 و 27 سبتمبر، وبلغت الذروة يوم 27 سبتمبر بـ 124,154 إشارة. وأصدرت الهيئة الوطنية للأمن السيبراني يوم 23 سبتمبر تحذيرا بدرجة حرج برقم 2026-7873، وأضافت وكالة الأمن السيبراني الأمريكية CISA الثغرة إلى قائمة الثغرات المستغلة فعليا يوم 25 سبتمبر.

ماذا تفعل الثغرة، بلا مصطلحات

حين يطلب زائر صفحة من موقعك، تقرر ووردبريس أي ملف من ملفات القالب تستخدم لعرضها. الخلل في هذه الخطوة: يستطيع مهاجم لم يسجل دخوله أن يوجهها إلى ملف PHP موجود على الخادم خارج مجلد القالب فيشغله. تقيم ووردبريس الثغرة بـ 9.2 من 10، وتقيمها CISA بـ 8.1.

ويتحول ذلك إلى سيطرة على الموقع حين تجتمع شروط يذكرها تحذير ووردبريس وتقارير الباحثين:

• القالب: أن يحتوي القالب المفعل مجلدا يبدأ اسمه بـ page-، ويذكر التحذير من القوالب التي تحتوي ذلك Twenty Twelve و Twenty Fourteen و Neve و Hestia و Sydney.
• إعداد في PHP: أن يكون الإعداد register_argc_argv مفعلا، وهو الوضع الافتراضي بحسب CrowdSec في صور PHP الرسمية على Docker وفي خوادم cPanel التي تعمل بإصدار PHP أقدم من 8.5.
• ملف مساعد: وجود الملف pearcmd.php التابع لحزمة PEAR على الخادم، فيستخدمه المهاجم لكتابة ملفات PHP جديدة، أي بابا خلفيا يبقى بعد التحديث.

أي أن الثغرة لا تسقط كل موقع بالدرجة نفسها، لكن موقع Security Affairs يلخصها هكذا: تنفيذ الأوامر يحتاج أن يتوافق إعداد الخادم، وخوادم كثيرة يتوافق إعدادها. وصاحب المنشأة لا يعرف عادة أي قالب مفعل عنده ولا كيف ضبط خادمه، فالأسلم أن يعامل موقعه على أنه معرض حتى يثبت العكس.

لماذا جاء الهجوم بعد ساعات لا أسابيع

التحديث الأمني يكشف بطبيعته موضع الخلل، فالتعديل في الشيفرة منشور للجميع. تقول Patchstack إن أولى الحمولات الهجومية طابقت النمط الذي أغلقه الإصلاح، أي أن من كتبها بنى على الإصلاح نفسه لا على اكتشاف مستقل. وبدأت المحاولات الأولى بطلب ملفات عادية من نواة ووردبريس، مثل wp-login.php و wp-cron.php، لاختبار استجابة المواقع، ثم انتقلت إلى كتابة الملفات.

وتظهر في الطلبات بصمات أدوات فحص آلية وشيفرات إثبات مفهوم منشورة. معنى ذلك لصاحب المنشأة: لا أحد يختار موقعك تحديدا. الأدوات تمر على كل موقع ووردبريس تصل إليه، والفرق بين موقع مخترق وموقع سليم هو هل ثبت التحديث قبل وصولها أم لا.

هل يحدث موقعك نفسه؟

في الغالب نعم، لكن لا تفترض ذلك. التحديثات التلقائية موجودة في ووردبريس منذ الإصدار 3.7، ومنذ 5.6 تفعل التثبيتات الجديدة التحديث التلقائي للإصدارات الصغيرة والكبيرة معا. وتقول ووردبريس في إعلان 7.1.2 إن المواقع التي تدعم التحديث التلقائي سيبدأ تحديثها تلقائيا.

لكن التحديث التلقائي يوقف بسطر واحد في ملف الإعدادات wp-config.php. بعض المطورين يوقفونه عمدا حتى لا يكسر تحديث ما قالبا معدلا، وبعض الاستضافات تدير التحديثات من جهتها. والموقع الذي بناه مستقل قبل سنوات ثم انتهى عقده قد يبقى على إصدار قديم لا ينتبه له أحد. للتأكد:

• ادخل لوحة تحكم الموقع، ثم افتح صفحة التحديثات من قائمة لوحة التحكم، وستجد فيها رقم الإصدار الحالي.
• الإصدار الآمن هو 7.1.2 أو أحدث. وإن كان موقعك على فرع أقدم فقد وصل الإصلاح إلى كل الفروع حتى 4.7، ومنها 7.0.6 و 6.9.9 و 6.8.10 و 4.7.37، والقائمة كاملة في تحذير ووردبريس المذكور في المصادر.
• تنبه إلى أن ووردبريس تقول إنها لا تدعم فعليا إلا أحدث إصدار. الموقع الباقي على فرع قديم أخذ هذا الإصلاح، لكنه يعيش على وقت مستعار. وشرحنا ما يضيفه الإصدار الجديد لموقع الشركة في ووردبريس 7.1: أبرز المزايا الجديدة.

إلمنتور أيضا: رابط واحد يكفي

في الأسبوع نفسه أصلحت إلمنتور، أداة بناء الصفحات الشهيرة على ووردبريس، ثغرة في الإصدارين 4.3.0 و 4.3.1 فقط. إذا فتح مدير الموقع وهو مسجل الدخول رابطا مصمما لذلك، يستطيع المهاجم إنشاء حساب مدير يتحكم به، ويكفي أن يصله الرابط في بريد أو محادثة أو تعليق. بحسب BleepingComputer تعمل هذه النسخ على ما يصل إلى مليوني موقع، وصدر الإصلاح في الإصدار 4.3.2 يوم 24 سبتمبر، ولم يذكر الموقع استغلالا فعليا وقت نشر الخبر.

تأكد أن إلمنتور على 4.3.2 أو أحدث، واجعلها قاعدة عند فريقك: لا تفتح روابط من رسائل أو تعليقات وأنت مسجل الدخول إلى لوحة الموقع.

إن لم يكن موقعك محدثا منذ 22 سبتمبر

• حدثه الآن: وإن كان المطور يخشى أن يكسر التحديث شيئا، تقول Patchstack إن سد الطريق مؤقتا ممكن بحجب محاولات التنقل بين المجلدات في المتغير pagename، أو بإيقاف register_argc_argv. هذه مهمة للاستضافة أو المطور، ولا تغني عن التحديث.
• افترض أن موقعك فحص: اطلب من المطور أو الاستضافة البحث عن ملفات PHP لم يضفها أحد، خاصة في المجلدين /tmp و /var/tmp، حيث تذكر Patchstack ملفات بأسماء مثل poc87902.php و wp-pear-rce-flag.php تدل على تنفيذ أوامر ناجح.
• إن وجد شيء: عامله حادثة لا تحديثا. غير كلمات مرور حسابات المديرين وقاعدة البيانات والاستضافة، واستعد الموقع من نسخة احتياطية نظيفة ثم حدثه.
• إن كان الموقع يحفظ بيانات عملاء: طلبات متجر أو نماذج تواصل أو حسابات، فدليل سدايا لحوادث تسرب البيانات الشخصية يلزم جهة التحكم بإبلاغ الجهة المختصة خلال 72 ساعة من علمها بالحادثة إذا كانت قد تلحق ضررا بالبيانات أو بأصحابها.

نظرة أوريجامي

كثير من مواقع الشركات تبنى على ووردبريس ثم تعامل كأنها مطبوعة ورقية: يسلمها المطور، ويدفع صاحب المنشأة، ولا يسأل أحد بعدها من يحدثها. هذه الثغرة تذكير بأن الموقع نظام حي على خادم متصل بالإنترنت، وأن الفاصل بين نشر الإصلاح ووصول المهاجم صار ساعات. والسؤال الحقيقي ليس هل ووردبريس آمن، فقد أصلحت الخلل وأوصلت الإصلاح إلى كل الفروع حتى 4.7، بل من في شركتك مسؤول عن تثبيته.

لذلك نرى أن عقد صيانة الموقع يجب أن ينص على مدة قصوى لتثبيت التحديثات الأمنية الحرجة، وعلى نسخة تجريبية يختبر عليها التحديث قبل الموقع الحي، وعلى نسخ احتياطية دورية محفوظة خارج الخادم نفسه. وإن كان تحديث موقعك يؤجل لأن القالب معدل بطريقة تنكسر مع كل تحديث، فهذه مشكلة في طريقة بنائه لا في ووردبريس، وتستحق الحل قبل الثغرة القادمة.

الخلاصة: ثلاث خطوات

• اليوم: افتح لوحة التحكم وتأكد أن الإصدار 7.1.2 أو إصدار الإصلاح لفرعك، وأن إلمنتور على 4.3.2 أو أحدث.
• هذا الأسبوع: اطلب من المطور أو الاستضافة فحص الخادم بحثا عن ملفات PHP غريبة، وتأكيدا مكتوبا بأن التحديث التلقائي مفعل.
• هذا الشهر: أضف إلى عقد الصيانة مدة قصوى لتثبيت التحديثات الأمنية، وحدد اسم الشخص المسؤول عنها.

مصادر

• ووردبريس — إعلان التحديث الأمني 7.1.2 (22 سبتمبر 2026)
• ووردبريس — التحذير الأمني GHSA-7hp8-65ch-5whp: الإصدارات المتأثرة والمصلحة وشروط الاستغلال
• الهيئة الوطنية للأمن السيبراني — تحذير ووردبريس رقم 2026-7873 (23 سبتمبر 2026)
• CISA — إضافة CVE-2026-87902 إلى قائمة الثغرات المستغلة فعليا (25 سبتمبر 2026)
• Patchstack — المهاجمون بدؤوا فحص مواقع ووردبريس بعد ساعات من الإصلاح
• CrowdSec — تقرير استغلال CVE-2026-87902 (28 سبتمبر 2026)
• Security Affairs — شروط تنفيذ الأوامر عبر CVE-2026-87902
• BleepingComputer — ثغرة إلمنتور التي تتيح إنشاء حسابات مدير
• ووردبريس — وثائق التحديثات التلقائية وطريقة إيقافها
• سدايا — الدليل الإجرائي لحوادث تسرب البيانات الشخصية