یک آسیب‌پذیری امنیتی با شدت بالا در هسته وردپرس، امکان اجرای کد از راه دور روی سرور را برای مهاجمان بدون نیاز به احراز هویت فراهم می‌کند. تنها ۲۴ ساعت پس از انتشار وصله امنیتی، نزدیک به ۶۳ هزار تلاش برای سوءاستفاده از این آسیب‌پذیری شناسایی و مسدود شده است.
وردپرس بار دیگر با یک هشدار امنیتی جدی روبه‌رو شده است. این بار مشکل نه در یک افزونه ناشناخته و نه در یک قالب شخص ثالث، بلکه در فرایند به‌روزرسانی هسته اصلی این سیستم مدیریت محتوا قرار دارد؛ فرایندی که تقریباً تمام مدیران سایت‌های وردپرسی به‌طور مرتب از آن استفاده می‌کنند.
بر اساس گزارشی که The Hacker News در ۳۰ اکتبر ۲۰۲۶ منتشر کرده، مهاجمان تلاش برای بهره‌برداری از یک آسیب‌پذیری اجرای کد از راه دور (RCE) در هسته وردپرس را آغاز کرده‌اند. این آسیب‌پذیری با شناسه CVE-2026-119977 و امتیاز امنیتی ۸.۱ از ۱۰ در دسته آسیب‌پذیری‌های با شدت بالا قرار می‌گیرد.
نکته نگران‌کننده این است که مهاجم برای سوءاستفاده از این ضعف امنیتی نیازی به داشتن حساب کاربری، رمز عبور یا دسترسی به پنل مدیریت وردپرس ندارد.
یک فرایند عادی به نقطه ورود مهاجم تبدیل شده است
ریشه این آسیب‌پذیری به نحوه عملکرد وردپرس هنگام به‌روزرسانی کامل هسته بازمی‌گردد.
هنگامی که وردپرس یک بسته کامل به‌روزرسانی را دریافت می‌کند، ابتدا فایل‌های نسخه جدید را در یک مسیر موقت در داخل دایرکتوری زیر استخراج می‌کند:
wp-content/upgrade/
این فایل‌ها شامل اجزای مختلف وردپرس، از جمله فایل‌های نصب‌کننده هستند. مشکل از جایی آغاز می‌شود که مسیر موقت ایجادشده قابل پیش‌بینی باشد و از طریق وب نیز به آن دسترسی وجود داشته باشد.
در چنین شرایطی، مهاجم می‌تواند با ارسال درخواست مستقیم به فایل‌های PHP موجود در این مسیر، تلاش کند در همان فاصله کوتاهی که فایل‌های به‌روزرسانی هنوز در دسترس هستند، فرایند نصب را تحت تأثیر قرار دهد و به اجرای کد روی سرور برسد.
این حمله از نوع Race Condition است؛ تکنیکی که در آن موفقیت مهاجم به زمان‌بندی دقیق درخواست‌ها وابسته است.
به بیان ساده، مهاجم باید دقیقاً در چند ثانیه‌ای که وردپرس مشغول استخراج و آماده‌سازی فایل‌های نسخه جدید است، درخواست مخرب خود را به مقصد برساند.
چرا مهاجمان هزاران درخواست ارسال می‌کنند؟
بر اساس توضیحات تیم امنیتی Wordfence، پنجره زمانی لازم برای اجرای موفق این حمله در آزمایش‌های معمول تنها چند ثانیه بوده است. همین موضوع باعث شده مهاجمان به‌جای ارسال یک درخواست، از ابزارهای خودکار برای بررسی مداوم مسیرهای آسیب‌پذیر استفاده کنند.
یکی از فایل‌هایی که در این حملات هدف قرار گرفته، setup-config.php است؛ فایلی که در فرایند نصب وردپرس نقش دارد.
مهاجمان با ارسال مکرر درخواست به مسیرهای احتمالی تلاش می‌کنند لحظه‌ای را پیدا کنند که فایل‌های موقت به‌روزرسانی در دسترس قرار گرفته‌اند.
گزارش Wordfence نشان می‌دهد برخی از منابع حمله، گروه کوچکی از سایت‌ها را به مدت حدود ۱۴.۵ ساعت به‌صورت مداوم بررسی کرده‌اند. منابع دیگری نیز مسیرها و الگوهای مختلف نام‌گذاری دایرکتوری‌های موقت را آزمایش کرده‌اند.
طبق آمار منتشرشده در گزارش اولیه The Hacker News، Wordfence طی ۲۴ ساعت نخست، ۶۲٬۹۶۹ تلاش برای حمله به این آسیب‌پذیری را مسدود کرده بود. این آمار در صفحه اطلاعات تهدید Wordfence در زمان بررسی به ۷۰٬۷۴۰ درخواست در ۲۴ ساعت رسیده است.
البته باید توجه داشت که این ارقام تعداد درخواست‌های مخرب شناسایی و مسدودشده هستند، نه تعداد سایت‌های هک‌شده یا نفوذهای موفق.
کدام نسخه‌های وردپرس آسیب‌پذیر هستند؟
این مشکل هسته وردپرس را در نسخه‌های 4.7 تا 7.1.3 تحت تأثیر قرار می‌دهد. بنابراین موضوع محدود به نسخه‌های جدید وردپرس نیست و سایت‌هایی که همچنان از نسخه‌های قدیمی‌تر استفاده می‌کنند نیز باید وضعیت خود را بررسی کنند.
وردپرس در تاریخ ۲۸ اکتبر ۲۰۲۶ نسخه امنیتی 7.1.4 را منتشر کرد. این به‌روزرسانی علاوه بر رفع آسیب‌پذیری اجرای کد از راه دور، مجموعه‌ای از اصلاحات امنیتی دیگر را نیز شامل می‌شود.
بر اساس اطلاعات Wordfence، نسخه‌های اصلاح‌شده برای شاخه‌های مختلف وردپرس عبارت‌اند از:
| شاخه وردپرس | نسخه اصلاح‌شده |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
| 6.5 | 6.5.14 |
| 6.4 | 6.4.14 |
| 6.3 | 6.3.14 |
| 6.2 | 6.2.15 |
برای نسخه‌های قدیمی‌تر نیز اصلاحیه‌هایی تا شاخه 4.7 ارائه شده است.
نکته مهم اینکه نسخه 7.1.4 تنها شامل رفع همین آسیب‌پذیری نیست و طبق گزارش Wordfence، در مجموع ۲۲ مشکل امنیتی را برطرف می‌کند.
مدیران سایت‌های وردپرسی چه اقداماتی انجام دهند؟
با توجه به شروع تلاش‌های فعال برای سوءاستفاده از این آسیب‌پذیری، مدیران سایت‌ها بهتر است موضوع را به تعویق نیندازند.
اقدامات پیشنهادی عبارت‌اند از:
۱. نسخه وردپرس را بررسی و به‌روزرسانی کنید.
از بخش پیشخوان وردپرس و قسمت Updates مطمئن شوید آخرین نسخه اصلاح‌شده متناسب با شاخه وردپرس شما نصب شده است. صرفاً فعال بودن به‌روزرسانی خودکار کافی نیست؛ وضعیت نصب موفق وصله را بررسی کنید.
۲. دسترسی به مسیرهای موقت را بررسی کنید.
دایرکتوری wp-content/upgrade/ نباید بدون کنترل و محدودیت در دسترس عموم قرار داشته باشد. مدیران سرور می‌توانند پیش از شروع فرایند به‌روزرسانی، دسترسی HTTP به این مسیر را به‌صورت موقت در سطح وب‌سرور یا WAF مسدود کنند.
این اقدام به‌ویژه برای مدیران سرورهایی که از ابزارهایی مانند ModSecurity و Imunify360 استفاده می‌کنند قابل بررسی است. البته باید توجه داشت که این محدودیت جایگزین نصب وصله امنیتی نیست.
۳. لاگ‌های وب‌سرور را بررسی کنید.
درخواست‌های مشکوک به فایل‌های PHP زیر مسیر wp-content/upgrade/، به‌خصوص درخواست‌های تکراری به setup-config.php، می‌توانند نشانه تلاش برای سوءاستفاده از این آسیب‌پذیری باشند.
۴. حساب‌های کاربری و فایل‌های سایت را بررسی کنید.
اگر سایت در زمان آسیب‌پذیری به‌روزرسانی نشده بوده است، حساب‌های مدیریتی ناشناس، افزونه‌های غیرمنتظره و فایل‌های PHP مشکوک را بررسی کنید. اجرای یک اسکن امنیتی نیز می‌تواند به شناسایی تغییرات غیرمجاز کمک کند.
یک هشدار مهم برای مدیران سایت و شرکت‌های هاستینگ
این آسیب‌پذیری یادآوری می‌کند که امنیت یک وب‌سایت صرفاً به انتخاب افزونه‌های معتبر یا استفاده از رمز عبور قوی محدود نمی‌شود. حتی فرایندهای داخلی و به‌ظاهر عادی یک سیستم مدیریت محتوا نیز ممکن است در شرایط خاص به نقطه ورود مهاجمان تبدیل شوند.
از آنجا که این ضعف امنیتی در هسته وردپرس قرار دارد و به احراز هویت نیاز ندارد، بررسی وضعیت به‌روزرسانی سایت‌های میزبانی‌شده باید در اولویت مدیران سرور و شرکت‌های هاستینگ قرار بگیرد.
اگر چندین سایت وردپرسی را مدیریت می‌کنید، بهتر است وضعیت تمام آن‌ها را بررسی کنید؛ به‌خصوص سایت‌هایی که به‌روزرسانی خودکار در آن‌ها غیرفعال است یا مدت‌هاست هسته وردپرسشان به‌روزرسانی نشده است.
دیدگاهتان را بنویسید
برای نوشتن دیدگاه باید وارد بشوید.