مواقع Elementor Pro تتعرض للاختراق: كيف تفحص موقعك وتصلحه (CVE-2026-32475)

شاهد الفيديو (دقيقة واحدة):

إذا كان موقعك على WordPress يستخدم إضافة Elementor Pro، فافحصه اليوم قبل أي شيء آخر. فقد ظهرت ثغرة حرجة رقمها CVE-2026-32475. تسمح هذه الثغرة للمهاجم برفع ملف PHP عبر أحد النماذج في موقعك، ثم تشغيله على خادمك. ولا يحتاج المهاجم إلى حساب أو تسجيل دخول. وعندما يعمل هذا الملف، يسيطر المهاجم على الموقع كله.

ولم تُكتشف هذه الثغرة في تجربة مختبرية فقط، بل تُستغل فعلًا. فقد أعلنت شركة Defiant، وهي الشركة المطوِّرة لإضافة Wordfence، أنها صدّت أكثر من 190,000 محاولة هجوم على هذه الثغرة.

هل موقعي متأثر؟

يكون موقعك متأثرًا إذا تحقّق الشرطان التاليان معًا:

1. يستخدم موقعك Elementor Pro بالإصدار 4.2.1 أو إصدارًا أقدم منه.
2. توجد صفحة منشورة تستخدم أداة النموذج في Elementor (Form widget)، وفيها حقل لرفع الملفات (File Upload). ومن أمثلتها نماذج التواصل التي تقبل مرفقات، ونماذج طلبات التوظيف، ونماذج "أرسل لنا ملفك".

	التفاصيل
رقم الثغرة (CVE)	CVE-2026-32475
الإضافة	Elementor Pro (النسخة المدفوعة، وليست إضافة Elementor المجانية)
الإصدارات المتأثرة	4.2.1 وما قبله
أُصلحت في	4.2.2 (صدر في 19 أغسطس 2026)
درجة الخطورة	حرجة: CVSS 9.0 (حسب Patchstack) / 9.8 (حسب ما نقله SecurityWeek)
اكتشفها	Tin Pham، وأبلغ عنها عبر Patchstack
مكان الملف الخبيث بعد رفعه	wp-content/uploads/elementor/forms/<random-id>.php

وحتى إن لم تكن متأكدًا من وجود حقل لرفع الملفات في موقعك، فحدّث الإضافة على أي حال. فالأمر لا يكلّفك أكثر من نقرة واحدة.

الخطوة 1: حدّث Elementor Pro إلى الإصدار 4.2.2 أو أحدث

من لوحة التحكم: اذهب إلى الإضافات (Plugins)، وابحث عن Elementor Pro، ثم انقر Update now (حدّث الآن). بعد ذلك تأكد من أن رقم الإصدار أصبح 4.2.2 أو أعلى.

من سطر الأوامر باستخدام WP-CLI (أداة لإدارة WordPress من الطرفية)، نفّذ الأوامر التالية داخل مجلد موقعك:

# Check the installed version
wp plugin get elementor-pro --field=version

# Update it
wp plugin update elementor-pro

وإذا كنت تدير مواقع كثيرة، فنفّذ الأمرين نفسيهما على كل موقع، أو استخدم أداة التحديث الجماعي للإضافات التي توفّرها شركة الاستضافة.

الخطوة 2: ابحث عن الأبواب الخلفية (التحديث لا يزيلها)

يتجاهل معظم الناس هذه الخطوة. صحيح أن التحديث يغلق الثغرة، لكن إذا كان المهاجم قد دخل موقعك قبل التحديث، فملفه ما زال موجودًا على خادمك. ويُسمى هذا الملف بابًا خلفيًا (Backdoor)، لأن المهاجم يستخدمه للعودة إلى الموقع متى أراد.

يحفظ Elementor الملفات المرفوعة عبر النماذج في المجلد wp-content/uploads/elementor/forms/. ويجب أن يحتوي هذا المجلد على ملفات مثل PDF والصور فقط، ولا يجوز أبدًا أن يحتوي على ملفات PHP.

# Should return nothing
find wp-content/uploads/elementor/forms -name "*.php"

# Wider check: any PHP-like file anywhere in uploads since August
find wp-content/uploads -name "*.php*" -newermt "2026-08-01"

• إذا كانت النتيجة فارغة: هذا جيد، فلا توجد أي علامة على هذا الهجوم.
• إذا ظهر أي ملف .php (غالبًا باسم عشوائي مثل 65f1a2b3c4d5e.php): اعتبر الموقع مخترقًا. وانتقل مباشرة إلى قسم "إذا تعرّض موقعك للاختراق" أدناه.

الخطوة 3: افحص حسابات المديرين

كثيرًا ما ينشئ المهاجمون حساب مدير (Administrator) جديدًا، حتى يتمكنوا من العودة لاحقًا، ولو حذفت ملفهم.

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

راجع كل سطر في النتيجة. فوجود مستخدم لا تعرفه، أو نطاق بريد إلكتروني غريب، أو تاريخ تسجيل بعد منتصف أغسطس، كلها علامات تحذير. وإذا لم تتعرف على أحد الحسابات، فاحذفه (wp user delete <ID> --reassign=1) ثم ابحث في سبب وجوده.

ويمكنك أيضًا رؤية القائمة نفسها في لوحة التحكم من Users > All Users (المستخدمون > كل المستخدمين)، مع التصفية حسب Administrator (مدير).

إضافة: امنع تشغيل PHP في مجلد الرفع

مجلد الرفع (uploads) مخصص للوسائط مثل الصور والمستندات، لذلك لا يوجد أي سبب لتشغيل ملفات PHP منه. ويمكن لقاعدة صغيرة واحدة أن توقف هذا النوع من الهجمات بالكامل، حتى مع الثغرات التي قد تظهر في الإضافات مستقبلًا.

Apache: أنشئ الملف wp-content/uploads/.htaccess وضع فيه ما يلي:

<FilesMatch "\.(php|phtml|phar)$">
    Require all denied
</FilesMatch>

Nginx: أضف ما يلي داخل كتلة server { } الخاصة بموقعك، ثم نفّذ الأمر sudo nginx -t && sudo systemctl reload nginx:

location ~* /wp-content/uploads/.*\.(php|phtml|phar)$ {
    deny all;
}

اختبر القاعدة: افتح الرابط https://your-site/wp-content/uploads/test.php (لا يلزم أن يكون الملف موجودًا). يجب أن تظهر لك الرسالة 403 Forbidden، وليس خطأ 404 تعالجه PHP.

إذا تعرّض موقعك للاختراق

1. احتفظ بنسخة من الملف الخبيث ومن سجلات الخادم (Logs) لتكون دليلًا.
2. ضع الموقع في وضع الصيانة.
3. احذف ملف الباب الخلفي (أو الملفات) وأي حسابات مدير لا تعرفها.
4. غيّر جميع كلمات مرور المديرين، وكلمة مرور قاعدة البيانات، وكلمات مرور الاستضافة وFTP وSSH.
5. غيّر مفاتيح التشفير (Salts) الخاصة بـ WordPress في الملف wp-config.php (سيؤدي هذا إلى تسجيل خروج جميع المستخدمين).
6. افحص الموقع كله بحثًا عن أبواب خلفية أخرى (بفحص عبر إضافة أمان، إلى جانب الأمر find . -name "*.php" -newermt "2026-08-01").
7. إذا لم تكن متأكدًا من أن الموقع أصبح نظيفًا، فاستعده من نسخة احتياطية أُنشئت قبل الإصابة، ثم حدّث Elementor Pro قبل أن تعيد الموقع إلى العمل على الإنترنت.

قائمة تحقق سريعة

• إصدار Elementor Pro هو 4.2.2 أو أحدث
• لا توجد أي ملفات .php في wp-content/uploads/elementor/forms/
• كل حساب مدير يعود إلى شخص تعرفه
• تشغيل PHP ممنوع في wp-content/uploads/ (بقاعدة Apache أو Nginx)
• شاركت هذا المقال مع كل من يدير موقعًا على WordPress

المصادر

• The Hacker News: ثغرة في Elementor Pro قد تسمح للمهاجمين بالسيطرة على مواقع WordPress (20 أغسطس 2026)
• SecurityWeek: استغلال ثغرة في إضافة Elementor Pro لـ WordPress لاختراق المواقع (5 سبتمبر 2026)
• توثيق WP-CLI: wp plugin وwp user list

---

شاهد الفيديو:

Abd Almouhimen Shamout، من Take away support: حلول لمشكلات تقنية المعلومات في أقل من دقيقتين. المزيد على mouhimen.dev.

---

هذا المقال ترجمة عربية للمقال الأصلي باللغة الإنجليزية للكاتب عبد المهيمن شموط على mouhimen.dev.