تاريخ المراجعة: 24 سبتمبر 2026. هذه نشرة تشغيلية لأصحاب المواقع ومديريها، وليست دليلاً على أن كل موقع يستخدم إصداراً متأثراً قد تعرّض للاختراق. استخدم أرقام الإصدارات الفعلية المثبتة على موقعك، وسجّل كل خطوة في إجراء التغيير الطارئ أو الإجراء التشغيلي المعتمد لديك.
الخلاصة التنفيذية
صدر WordPress 7.1.2 في 22 سبتمبر 2026 لإصلاح ثغرة اجتياز المسار غير الموثّق (unauthenticated path traversal) في آلية حل قوالب الصفحات، ويمكن أن تؤدي، في ظروف معينة، إلى تنفيذ التعليمات البرمجية عن بُعد. يوضح إعلان WordPress الرسمي طبيعة الإصلاح. كما توصي وثائق WordPress بتطبيق تحديث الأمان 7.1.2 فوراً، مع توفر إصلاحات للفروع الأقدم المدعومة. راجع وثائق الإصدار الرسمية.
أفاد Patchstack ببدء الاستطلاع النشط خلال ساعات من إصدار التصحيح، ويحدد الإصدارات حتى 7.1.1 ضمن الإصدارات المتأثرة. راجع تقرير Patchstack عن الاستطلاع بعد التصحيح. إذا كان الموقع يعمل بالإصدار 7.1.1 أو بإصدار متأثر آخر، فثبّت الإصدار المُصحح فوراً عبر إجراء التغيير الطارئ، ولا تنتظر نافذة التغيير الدورية. هذه توصية تشغيلية في هذا المقال استناداً إلى معطيات التصحيح والاستطلاع، وليست ضماناً لنتيجة أمنية معينة.
فحص WordPress الأساسي
ابدأ بجرد إصدار WordPress الأساسي، ثم تحقق من أن الإصدار المثبت هو 7.1.2 أو فرع مدعوم مصحح، وفق ما ينطبق على موقعك. تسرد وثائق WordPress معلومات الإصدار والتحديث الأمني. لا تخلط بين نجاح عملية التحديث وبين اكتمال التحقيق؛ بعد التصحيح، اختبر الصفحات الأساسية، وتسجيل الدخول، ونماذج الموقع، والمهام التي يعتمد عليها العمل. هذه قائمة تحقق تحريرية عملية، ويجب تكييفها مع بنية موقعك.
- سجّل الإصدار الحالي من WordPress والإضافات والقوالب.
- حدد المواقع التي كانت مكشوفة قبل التصحيح أو التي تعمل بإصدار متأثر.
- طبّق التحديث المناسب عبر إجراء التغيير الطارئ، وسجّل وقت التنفيذ والنتيجة.
- اختبر الوظائف المهمة، ثم راجع السجلات إذا ظهرت مؤشرات غير معتادة.
لا تستخدم عبارة «أولوية عالية» بوصفها تصنيفاً منقولاً تلقائياً. فـPatchstack يميز بين قوائم الثغرات المستغلة حالياً، وشدة CVSS، وفئات أولوية التصحيح؛ لذلك فإن «أولوية عالية» في هذه النشرة تعني، إن استُخدمت، تصنيفاً تحريرياً خاصاً بهذه النشرة. راجع تصنيفات Patchstack كما هي معروضة.
الإضافات المدرجة ضمن الثغرات المستغلة حالياً
تتضمن القائمة الحالية في Patchstack: Gravity Forms بالإصدار 3.1.0.4 أو أقدم، وForminator بالإصدار 1.57.2 أو أقدم، وProfilePress بالإصدار 4.17.1 أو أقدم، وThe Events Calendar بالإصدار 6.17.4 أو أقدم. راجع قائمة Patchstack الحالية والحدود الخاصة بكل إضافة. هذه حدود إصدارات متأثرة، وليست دليلاً على أن كل تثبيت قد اختُرق.
لكل إضافة، حدّد الإصدار المثبت فعلياً، واقرأ إشعار المورّد، ثم طبّق الإصدار المصحح الذي يقدمه المورّد. هذه توصية إجرائية، ولا يحدد البحث المقدم رقم الإصدار المصحح لكل إضافة من الإضافات الأربع؛ لذلك لا ينبغي اختراع أرقام بديلة أو افتراضها. بعد التحديث، اختبر الوظائف المرتبطة بالإضافة، مثل النماذج أو الحسابات أو عرض الفعاليات، بحسب ما يستخدمه الموقع.
TranslatePress: إجراء تصحيح فوري
إذا كان TranslatePress مثبتاً بالإصدار 3.3.1 أو أقدم، فحدّثه فوراً إلى الإصدار 3.3.2 أو أحدث، ثم اختبر مسارات الترجمة والمصادقة. يوثق Wordfence الإصدارات المتأثرة والإصدار المصحح وخطوة الاختبار. يذكر Wordfence أن الاستغلال يتطلب تفعيل الحفظ التلقائي للسلاسل، وأن تكون لغة ملف مسؤول الموقع لغة ثانوية منشورة. راجع شروط الاستغلال الموثقة. وقد يؤدي الخلل إلى كشف رابط إعادة تعيين كلمة المرور وتمكين الاستيلاء على حساب مسؤول، بحسب التقرير نفسه. راجع وصف الأثر الأمني.
اختبار الترجمة والمصادقة هنا توصية تحريرية عملية، وليس دليلاً على أن التحديث نجح في كل بيئة. افحص لغة الواجهة، وتدفق تسجيل الدخول، وإعادة تعيين كلمة المرور، وأي صلاحيات إدارية تعتمد عليها عملية النشر.
خطة مراجعة السجلات
إذا كان الموقع مكشوفاً قبل المعالجة أو ظهرت سلوكيات غير متوقعة، فاجعل التحقيق متعدد المصادر. راجع سجلات وصول خادم الويب بحثاً عن مؤشرات الاجتياز والاستطلاع، وسجلات PHP أو التطبيق بحثاً عن أخطاء غير متوقعة أو سلوك متعلق بتضمين الملفات أو تنفيذ غير معتاد، وسجلات إضافة الأمان أو مزود الاستضافة عندما تكون متاحة. يشرح Patchstack مصادر المراجعة وإشارات البحث المفيدة.
تشمل الإشارات التي يمكن البحث عنها طلبات اجتياز مشفّرة، وتركيبات تجمع بين المعاملين page_id وpagename، ومخرجات OPML غير متوقعة، وتغييرات مرتبطة بهذه الطلبات. راجع أمثلة Patchstack لإشارات البحث. هذه الطلبات مؤشرات للتحقيق وليست إثباتاً على الاختراق. أعطِ أولوية لفحص حسابات المسؤولين غير المتوقعة، والملفات المعدلة، ونشاط إعادة تعيين كلمات المرور، وحركة المرور الصادرة غير المعتادة؛ وهذه أولويات تحقيق تحريرية مستمدة من ملخص البحث، وليست دليلاً منفرداً على حادث.
دورة تحديثات WordPress.org وحدودها
تطبق WordPress.org فترة تهدئة مدتها ست ساعات على إصدارات الإضافات والقوالب الموزعة عبر واجهة تحديثها، مع تحليل أمني آلي أثناء فترة التهدئة. راجع شرح WordPress.org لآلية المراجعة الآلية. هذه آلية توزيع مفيدة، لكنها ليست موافقة أمنية كاملة، ولا اختبار توافق، ولا بديلاً عن اختبار التحديثات في بيئة التجهيز وعن إجراءات التغيير الطارئ الخاصة بالموقع. هذا التفسير حدّ تشغيلي مهم للآلية، وليس ادعاءً بأن الفحص يكتشف كل مشكلة.
إجراء مقترح لهذا الشهر
نفّذ الجرد، وقارن الإصدارات بالحدود المذكورة، وصحح WordPress وTranslatePress وأي إضافة مدرجة تنطبق عليها الحدود، ثم اختبر المسارات الحرجة. إذا ظهرت مؤشرات في السجلات، احتفظ بنطاق التحقيق منفصلاً عن قرار التحديث، ولا تعتبر الطلب المشبوه وحده إثباتاً للاختراق. ولأن هذه النشرة مؤرخة في 24 سبتمبر 2026، أعد التحقق من الإصدارات والإشعارات عند تنفيذ الإجراء بدلاً من الاعتماد على نسخة ثابتة من القائمة.