ثغرة wp2shell: تهديد خطير يتسلل إلى قلب ووردبريس

ما الذي تم إصلاحه

تم إصدار نسختي ووردبريس 6.9.5 و7.0.2 في 17 يوليو 2026 لإصلاح سلسلة ثغرات wp2shell. تم اكتشاف الثغرة والإبلاغ عنها بشكل مسؤول بواسطة آدم كويز من أستنوت، وهي جزء من سيرشلايت سيبر . نظرًا لخطورتها، قام فريق ووردبريس بتفعيل التحديثات التلقائية الإجبارية لجميع المواقع المتأثرة .

المعرفات

هجوم wp2shell هو سلسلة من ثغرتين :

• CVE-2026-63030 — مشكلة ارتباك في التوجيه بنقطة نهاية الدُفعات لواجهة برمجة التطبيقات REST. تم تصنيفها على أنها حرجة، بدرجة CVSS تبلغ 9.8 .
• CVE-2026-60137 — ثغرة حقن SQL غير مصادق عليها في معامل author__not_in الخاص بـ WP_Query. تم تصنيفها على أنها عالية الخطورة .

الإصدارات المتأثرة

• ووردبريس 6.9.x: جميع الإصدارات قبل 6.9.5 (من 6.9.0 إلى 6.9.4)
• ووردبريس 7.0.x: جميع الإصدارات قبل 7.0.2 (7.0.0 و7.0.1)
• الفرع الأقدم 6.8.x: تلقى تحديثًا خلفيًا إلى 6.8.6

التفاصيل التقنية

يجمع هجوم wp2shell بين ثغرتين :

1. CVE-2026-60137 هي ثغرة حقن SQL غير مصادق عليها. عن طريق إرسال طلبات HTTP مُعدة بعناية إلى معامل author__not_in، يمكن للمهاجم حقن أكواد SQL ضارة في قاعدة بيانات ووردبريس دون الحاجة إلى أي بيانات تسجيل دخول.

2. CVE-2026-63030 هي ثغرة ارتباك في التوجيه بنقطة نهاية الدُفعات لواجهة برمجة التطبيقات REST (/wp-json/batch/v1). تقوم هذه النقطة بمعالجة عدة طلبات فرعية في استدعاء واحد. يؤدي خطأ في التحليل إلى اختلال ترتيب مصفوفتين داخليتين، مما يسمح للمهاجم بتجاوز قيود التوجيه وربط استدعاءات داخلية لواجهة برمجة التطبيقات كان من المفترض أن تكون ممنوعة .

عند دمجهما، يستخدم المهاجم نقطة نهاية الدُفعات لتقديم طلبات متداخلة تستغل ثغرة حقن SQL. يتصاعد هذا إلى تنفيذ كامل للأكواد عن بُعد عن طريق:

• كتابة بيانات عشوائية (مثل قشرة ويب PHP) في نظام الملفات عبر أمر INTO OUTFILE في MySQL، أو
• التلاعب بخيارات ووردبريس التي تنفذ أكواد PHP .

لا يتطلب الهجوم أي مصادقة، ولا أي إضافات، ويعمل على تثبيت ووردبريس افتراضي . اعتبارًا من 18 يوليو 2026، تم إصدار أداة فحص عامة على wp2shell.com، كما أن كود استغلال عملي متداول .

ملاحظة مهمة: قد يؤدي استخدام ذاكرة التخزين المؤقت للكائنات (مثل Redis أو Memcached) إلى تخفيف جزئي للهجوم أو تغيير مسار الاستغلال، لكنه لا يلغي الثغرة الأساسية .

خطوات الحماية

1. التحديث فورًا — قم بالترقية إلى ووردبريس 6.9.5 أو 7.0.2 أو 6.8.6. معظم المواقع التي لديها تحديثات تلقائية مُفعّلة يجب أن تكون قد تلقت التحديث الإجباري بالفعل .
2. تحقق من الإصدار — انتقل إلى لوحة التحكم ← التحديثات، أو راجع الملف wp-includes/version.php.
3. إذا لم تتمكن من التحديث فورًا، قم بنشر تصحيح افتراضي أو قاعدة جدار حماية لتطبيقات الويب (WAF). أصدرت Cloudflare قواعد WAF خاصة تحجب ناقل هجوم wp2shell .
4. افحص بحثًا عن مؤشرات الاختراق — ابحث عن ملفات غير متوقعة في wp-content/uploads/، أو مستخدمين إداريين غير مألوفين، أو إدخالات غير عادية في قاعدة البيانات. على الرغم من عدم تأكيد استغلال واسع النطاق، فإن كود الاستغلال العام يعني أن عمليات المسح قد بدأت على الأرجح.
5. راجع صلاحيات مستخدم قاعدة البيانات — تأكد من أن مستخدم قاعدة بيانات ووردبريس لا يمتلك صلاحية FILE (التي تمكن أمر INTO OUTFILE). هذا يحد من مسار التصعيد إلى تنفيذ الأكواد.

لماذا تشكل الطبيعة مفتوحة المصدر لووردبريس خطرًا حادًا

حتى في ظل عدم تأكيد أي استغلال في البرية، أدخل النموذج مفتوح المصدر خطرًا مميزًا وحادًا يتعلق بـ wp2shell:

• شفافية كاملة لشفرة المصدر للمهاجمين — نظرًا لأن ووردبريس مفتوح المصدر، يمكن لأي شخص تنزيل الإصدارات المُصححة، ومقارنة الكود بالإصدارات الضعيفة، وهندسة مسار الاستغلال العكسي في غضون ساعات من إصدار التصحيح. أكد بائعو الأمن أن مقارنة الكود تكشف فورًا عن الكود الضعيف .
• نافذة زمنية قصيرة جدًا للمدافعين — على عكس البرمجيات الاحتكارية حيث يتطلب تطوير الاستغلال أبحاثًا مستقلة في الثغرات، فإن التصحيح مفتوح المصدر ينشر تفاصيل الثغرة فعليًا. يجب على المدافعين التحديث عالميًا في غضون ساعات، وليس أيامًا.
• سطح هجوم ضخم ومتنوع — يعمل ووردبريس على تشغيل ما يقرب من 43٪ من جميع مواقع الويب. الملايين من التثبيتات يديرها مشغلون بمستويات متفاوتة من النضج الأمني. العديد من المواقع مهملة، أو تعمل على إصدارات PHP قديمة، أو تفتقر إلى التحديثات التلقائية، مما يجعلها أهدافًا سهلة بمجرد أن يصبح كود الاستغلال عامًا .
• حاجز منخفض للتسليح — تم نشر أداة الفحص وكود الاستغلال في غضون 24 ساعة من إصدار التصحيح . يمكن لأي مهاجم ذي مهارات متوسطة تكييف الكود العام إلى سلاح فحص جماعي.
• لا يوجد حاجز للمصادقة — السلسلة بأكملها تعمل قبل المصادقة وتعمل ضد ووردبريس الافتراضي. لا يحتاج المهاجم إلى بيانات اعتماد صالحة، أو إضافة ضعيفة، أو أي تكوين خاص. هذا يقلل بشكل كبير من الجهد اللازم لتسليح الثغرة على نطاق واسع .

باختصار، يعني النموذج مفتوح المصدر أن التصحيح نفسه يصبح وثيقة الكشف التفصيلية، وقاعدة التثبيت الضخمة ومتفاوتة الجودة تضمن وجود ذيل طويل من الأهداف الضعيفة — مما يخلق فترة عالية الخطورة حتى قبل ملاحظة أي استغلال "رسمي".