الإجابة المختصرة: CVE-2026-119977 هي ثغرة من نوع حالة السباق (Race Condition) في عملية تحديث نواة WordPress. أثناء تحديث WordPress لنفسه، يفكّ ضغط الملفات الجديدة داخل مجلد يمكن توقّع اسمه داخل wp-content/upgrade/. وهذا المجلد يمكن الوصول إليه من الويب. إذا وصل مهاجم إلى المجلد في اللحظة المناسبة، فيمكنه تنفيذ أكواد على خادمك دون تسجيل الدخول. تتأثر بهذه الثغرة كل الإصدارات من 4.7 إلى 7.1.3. حدّث إلى WordPress 7.1.4 (أو إلى النسخة المصحّحة في فرعك، مثل 7.0.8 أو 6.9.11)، واحجب الوصول من الويب إلى wp-content/upgrade/، وتحقّق من وجود ملفات PHP لا تعرفها داخل هذا المجلد.
شاهد الفيديو:
أدير مواقع WordPress لعملائي إلى جانب عملي في Laravel وNext.js. وهذه الثغرة مختلفة عن غيرها، لأن اللحظة الخطرة هي التحديث نفسه. إليك ما هو معروف، وما الذي يجب أن تفعله.
ما الذي حدث: الترتيب الزمني
| التاريخ (2026) | ما حدث |
|---|---|
| 28 أكتوبر | صدر WordPress 7.1.4 متضمنًا الإصلاح، وطُبّق الإصلاح بأثر رجعي على كل الفروع حتى 4.7 |
| 29 أكتوبر | نشر WordPress التنبيه الأمني GHSA-4w3m-c66w-69mg. وأبلغت Wordfence عن 62,969 محاولة هجوم محجوبة خلال 24 ساعة، وكانت الأولى بعد تسع دقائق فقط من تفعيل قاعدة الجدار الناري الخاصة بها |
| 3 نوفمبر | أضافت CISA الثغرة CVE-2026-119977 إلى قائمة الثغرات المستغلة المعروفة (Known Exploited Vulnerabilities – KEV). ويجب على الجهات الفيدرالية الأمريكية إصلاحها بحلول 6 نوفمبر |
ملاحظة صريحة عن الأرقام: الرقم 62,969 يمثل عدد المحاولات التي حجبتها Wordfence، وليس عدد المواقع المخترقة. ولم تُبلغ Wordfence عن أي اختراق مؤكد ناجح خلال تلك الفترة. كسب السباق أمر صعب، لكن من الواضح أن المهاجمين يحاولون على نطاق واسع.
كيف يعمل الهجوم
يقول التنبيه الرسمي ذلك بوضوح: “أثناء تحديث النواة باستخدام حزمة كاملة، كان WordPress يفك ضغط الملفات الجديدة في مجلد يمكن توقّع اسمه داخل مجلد التحديثات المتاح للويب. ويمكن لمهاجم غير موثّق يكسب سباقًا ضد عملية فك الضغط هذه أن يصل إلى تنفيذ أكواد عن بُعد.”
عمليًا، يحدث الآتي:
- يبدأ موقعك تحديث النواة، يدويًا أو عبر التحديث التلقائي.
- يفك WordPress الإصدار الجديد داخل مجلد تحت
wp-content/upgrade/، باسم يستطيع المهاجم تخمينه. - لفترة قصيرة، تبقى ملفات PHP هذه في مجلد يقدّمه خادم الويب.
- تستمر الروبوتات في طلب هذا المسار. إذا وصل أحدها خلال هذه الفترة، ينفّذ PHP الكود خارج طلب WordPress المعتاد، فلا يمر الطلب عبر إضافاتك أبدًا.
هذه النقطة الأخيرة مهمة: قد لا ترى إضافة الحماية هذا الطلب مطلقًا، لأنه يصل مباشرة إلى النسخة المفكوكة من الملفات.
الخطورة: منخفضة أم عالية؟
تختلف المصادر الرئيسية في التقييم، والفيديو يعرض الرأيين:
- WordPress صنّف التنبيه بأنه منخفض، لأن نافذة التوقيت صعبة الاستغلال.
- Wordfence، وهي الجهة التي سجّلت رقم CVE، أعطتها درجة CVSS 3.1 بقيمة 8.1 (عالية)، لأن النجاح يعني تنفيذ كود دون توثيق.
تحسم قائمة CISA المسألة من الناحية العملية: الثغرة مستغلة فعليًا، لذلك يجب إصلاحها الآن.
الإصدارات المتأثرة والمصحّحة
| الفرع | المتأثرة | المصحّحة |
|---|---|---|
| 7.1 | 7.1.0 إلى 7.1.3 | 7.1.4 |
| 7.0 | 7.0.0 إلى 7.0.7 | 7.0.8 |
| 6.9 | 6.9.0 إلى 6.9.10 | 6.9.11 |
| 6.8 | 6.8.0 إلى 6.8.11 | 6.8.12 |
| 6.7 | 6.7.0 إلى 6.7.10 | 6.7.11 |
| 6.6 | 6.6.0 إلى 6.6.10 | 6.6.11 |
| 6.5 | 6.5.0 إلى 6.5.13 | 6.5.14 |
| 6.0 إلى 6.4 | جميع الإصدارات | 6.4.14، 6.3.14، 6.2.15، 6.1.16، 6.0.18 |
| 5.x | جميع الإصدارات | 5.9.20، 5.8.19، 5.7.21، 5.6.23، 5.5.24، 5.4.25، 5.3.27، 5.2.30، 5.1.28، 5.0.31 |
| 4.7 إلى 4.9 | جميع الإصدارات | 4.9.35، 4.8.34، 4.7.39 |
الإصلاح في ثلاث خطوات
1. حدّث WordPress
اذهب إلى لوحة التحكم ← التحديثات وثبّت الإصدار 7.1.4 (أو الإصدار المصحّح في فرعك). ويمكنك ذلك بواسطة WP-CLI:
wp core update
wp core version # should print 7.1.4 (or your branch's patched version)
تُثبَّت إصدارات الأمان الصغيرة عادةً بشكل تلقائي، لكن لا تفترض ذلك. تحقّق من كل موقع تديره.
2. احجب الوصول من الويب إلى مجلد التحديثات
يكتب WordPress في هذا المجلد عبر نظام الملفات، لذلك فإن حجبه على خادم الويب لا يعطّل التحديثات.
Nginx (داخل كتلة server { } الخاصة بموقعك):
location ^~ /wp-content/upgrade/ {
deny all;
}
Apache (في ملف .htaccess في الجذر الخاص بالموقع، فوق قواعد WordPress):
RedirectMatch 403 ^/wp-content/upgrade/
أعد تحميل الخادم، ثم اختبر: يجب أن يعيد الأمر curl -I https://your-site.com/wp-content/upgrade/ الرمز 403.
3. ابحث عن ملفات لا تعرفها
find wp-content/upgrade -type f -name "*.php" -newermt "2026-10-28" -ls
بعد اكتمال التحديث يجب أن يكون هذا المجلد فارغًا، أو أن يحتوي على مجلدات مؤقتة فقط. إذا وجدت ملف PHP لم تضعه بنفسك، فاعتبر الموقع مخترقًا: خذ نسخة احتياطية كدليل، وغيّر كلمات المرور والمفاتيح، وافحص الموقع بالكامل، ثم استعد نسخة نظيفة عند الحاجة.
لمواقع WordPress العربية
تعمل مواقع WordPress العربية (حزمة اللغة ar) بالكود الأساسي نفسه، لذلك فهي تحمل الخلل نفسه وتحصل على الإصلاح نفسه. ولا يوجد تأخير إقليمي للمواقع في السعودية أو الخليج. وإذا كانت لوحة التحكم بالعربية، فالمسار هو لوحة التحكم ← التحديثات.
الأسئلة الشائعة
هل اختُرق موقعي إذا كنت على إصدار قديم؟
ليس بالضرورة. تفشل معظم المحاولات لأن نافذة التوقيت قصيرة. تحقّق من مجلد wp-content/upgrade/ بحثًا عن ملفات PHP غير معروفة، وراجع سجلات الوصول لديك بحثًا عن طلبات إلى هذا المسار.
هل يعطّل حجب wp-content/upgrade/ التحديثات؟
لا. يكتب WordPress في هذا المجلد مباشرة عبر نظام الملفات، ولا يحتاج شيء إلى التحميل من هذا الرابط.
هل ستحميني إضافة الأمان؟
ليس بشكل موثوق. يصل الطلب الخبيث مباشرة إلى الملفات المفكوكة، لذلك قد لا يصل إلى إضافتك أبدًا. استخدم قاعدة خادم الويب.
لماذا يقول WordPress إن الخطورة منخفضة بينما تدرجها CISA ضمن الثغرات المستغلة؟
يقيّم WordPress مدى صعوبة استغلال الثغرة، بينما تدرج CISA الثغرات التي توجد أدلة على هجمات حقيقية باستخدامها. والأمران صحيحان معًا.
أدلة ذات صلة
- تحديث WordPress ولا يزال موقعك مخترقًا؟ صحّح PHP الآن
- مواقع Elementor Pro تتعرض للاختراق: كيف تتحقق من موقعك وتصلحه
- منطقة DNS واحدة و5 نطاقات فرعية مع Nginx
شاهد الفيديو: [VIDEO LINK HERE]
المصادر
- التنبيه الأمني لـ WordPress GHSA-4w3m-c66w-69mg: https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg
- BleepingComputer: https://www.bleepingcomputer.com/news/security/cisa-flags-wordpress-rce-flaw-as-actively-exploited-in-attacks/
- Security Affairs: https://securityaffairs.com/202394/security/u-s-cisa-adds-wordpress-flaw-to-its-known-exploited-vulnerabilities-catalog-2.html
- The Cyber Express: https://thecyberexpress.com/wordpress-vulnerability-7-1-4-patch-attacks/
هذا المقال ترجمة عربية للمقال الأصلي باللغة الإنجليزية للكاتب عبد المهيمن شموط على mouhimen.dev.
