اگر سایت وردپرسی دارید، این هفته یک خبر امنیتی هست که باید بخوانید. وردپرس ۲۸ اکتبر ۲۰۲۶ (۶ آبان ۱۴۰۵) نسخه امنیتی ۷٫۱٫۴ را منتشر کرد و یکی از اصلاحات آن ضعفی در خود فرایند به‌روزرسانی هسته است که در بازه به‌روزرسانی می‌تواند به اجرای کد از راه دور برسد. چند روز بعد، سازمان CISA آمریکا آن را به فهرست آسیب‌پذیری‌های «در حال سوءاستفاده» اضافه کرد. در این مقاله توضیح می‌دهیم این آسیب‌پذیری به‌روزرسانی وردپرس دقیقاً چیست، چرا درباره شدتش اختلاف‌نظر هست، چطور بفهمید سایتتان در خطر است و امروز چه کارهایی باید انجام دهید.
اگر عجله دارید، خلاصه این است: وردپرس را به ۷٫۱٫۴ یا نسخه اصلاحی شاخه خودتان ببرید، اگر مدیر سرور هستید دسترسی وب به پوشه wp-content/upgrade/ را ببندید و نشانه‌های نفوذ را بررسی کنید.
فهرست مطالب
- چه اتفاقی افتاده است؟
- این آسیب‌پذیری دقیقاً چیست؟
- چرا درباره شدتش اختلاف هست؟
- آیا سایت من آسیب‌پذیر است؟
- امروز چه کار کنیم؟
- بستن پوشه upgrade در وب‌سرور
- نشانه‌های نفوذ را کجا ببینیم؟
- فهرست CISA چه چیزی را ثابت می‌کند؟
- ارتباط با آسیب‌پذیری‌های PHP
- سؤالات متداول
چه اتفاقی افتاده است؟
| تاریخ | رویداد |
|---|---|
| ۲۸ اکتبر ۲۰۲۶ | انتشار WordPress 7.1.4 با اصلاح چند مشکل امنیتی، از جمله ضعف فرایند به‌روزرسانی |
| ۲۸ اکتبر ۲۰۲۶ | شرکت Wordfence چند ساعت پس از انتشار، کاوش و تلاش برای یافتن مسیرهای مرتبط را ثبت کرد |
| ۳۱ اکتبر ۲۰۲۶ | انتشار رکورد CVE با شناسه CVE-2026-119977 (امتیاز ۸٫۱ طبق ثبت Wordfence) |
| ۳ نوامبر ۲۰۲۶ | اضافه شدن این آسیب‌پذیری به فهرست Known Exploited Vulnerabilities سازمان CISA |
| ۲۷ نوامبر ۲۰۲۶ | موعد دریافت قاعده فایروال Wordfence توسط کاربران نسخه رایگان |
| ۸ دسامبر ۲۰۲۶ (برنامه‌ریزی‌شده) | انتشار WordPress 7.2 |
اطلاعیه رسمی وردپرس درباره ۷٫۱٫۴ می‌گوید چون این یک نسخه امنیتی است، توصیه می‌شود بلافاصله به‌روز کنید و سایت‌هایی که به‌روزرسانی خودکار پس‌زمینه را فعال دارند، فرایند را خودشان آغاز می‌کنند. وردپرس همچنین اعلام کرده اصلاحات امنیتی به همه شاخه‌های واجد شرایط تا نسخه ۴٫۷ بک‌پورت می‌شود و این کار در حال انجام است.
این آسیب‌پذیری دقیقاً چیست؟
فرض کنید وردپرس می‌خواهد خودش را از نسخه ۷٫۱٫۳ به ۷٫۱٫۴ ببرد. برای این کار بسته جدید را دانلود می‌کند، فایل‌ها را موقتاً داخل wp-content/upgrade/ باز می‌کند و بعد جایگزین می‌کند. مشکل در همین لحظه کوتاه است. طبق توضیح منابع امنیتی، در بسته کامل به‌روزرسانی، فایل‌های نصب‌کننده به‌طور موقت از مسیر وب قابل دسترس هستند و مهاجم بدون ورود به سایت می‌تواند به آن‌ها درخواست بفرستد. به این وضعیت «شرایط رقابتی» (race condition) می‌گویند و CISA آن را به‌صورت امکان اجرای کد روی سرور در بازه به‌روزرسانی توصیف کرده است.
چند نکته مهم برای درک واقعی خطر:
- طبق آزمایش Wordfence، این بازه فقط چند ثانیه طول می‌کشد، پس مهاجم باید دقیقاً در همان لحظه آماده باشد.
- حمله به یک به‌روزرسانی کامل هسته نیاز دارد که فایل‌های نصب‌کننده را شامل شود.
- مسیر موقت باید قابل حدس یا کشف باشد و پوشه upgrade از بیرون قابل دسترسی باشد.
- در سایت‌های آسیب‌پذیر، این بازه با هر به‌روزرسانی کامل هسته دوباره باز می‌شود، حتی با به‌روزرسانی خودکار.
- Wordfence دیده که مهاجمان با درخواست‌های مکرر منتظر باز شدن این بازه می‌مانند. دو منبع بزرگ حدود ۱۴٫۵ ساعت گروه‌های کوچکی از سایت‌ها را رصد کرده‌اند.
چرا درباره شدتش اختلاف هست؟
اگر درباره این آسیب‌پذیری جست‌وجو کنید، به دو ارزیابی متفاوت برمی‌خورید. توصیه مشاوره امنیتی خود وردپرس در گیت‌هاب شدت آن را «پایین» برچسب زده، اما رکورد CVE که Wordfence منتشر کرده امتیاز ۸٫۱ (بالا) با پیچیدگی حمله بالا دارد. این اختلاف دروغ‌گویی یک طرف نیست. دو معیار متفاوت اندازه گرفته می‌شود:
- امتیاز ۸٫۱ پیامد نهایی را می‌سنجد: اگر حمله موفق شود، مهاجم روی سرور کد اجرا می‌کند.
- برچسب «پایین» به سختی عملی شدن حمله نگاه می‌کند: بازه چند ثانیه‌ای، نیاز به به‌روزرسانی کامل و دسترسی وب به پوشه موقت.
شرکت Patchstack هم پیچیدگی حمله را بالا ارزیابی کرده و آن را عملاً ساده نمی‌داند، اما تأکید می‌کند که این بازه در هر به‌روزرسانی از نو ایجاد می‌شود. برداشت عملی ما: احتمال حمله موفق به یک سایت مشخص کم است، ولی چون اصلاحش یک کلیک است و پیامد بدترین حالت بسیار سنگین است، نباید عقب انداخت.
آیا سایت من آسیب‌پذیر است؟
طبق گزارش‌ها، نسخه‌های ۴٫۷ تا ۷٫۱٫۳ آسیب‌پذیر بودند. اصلاح در ۷٫۱٫۴ و نسخه‌های بک‌پورت شاخه‌های قدیمی‌تر (تا ۴٫۷٫۳۹ طبق گزارش) آمده است. برای دیدن نسخه فعلی:
- وارد پیشخوان شوید و صفحه «به‌روزرسانی‌ها» را باز کنید.
- یا از مسیر «ابزارها > سلامت سایت > اطلاعات» نسخه وردپرس را ببینید.
اگر نسخه شما قدیمی‌تر از ۷٫۱٫۴ است و در شاخه قدیمی‌تری هستید، به‌روزرسانی همان شاخه را بگیرید، یا بهتر، به آخرین نسخه بروید. وردپرس تأکید می‌کند فقط آخرین نسخه به‌طور فعال پشتیبانی می‌شود. سایت کیاهاست هم برای بررسی این مقاله روی ۷٫۱٫۴ بود.
امروز چه کار کنیم؟
- بکاپ بگیرید. قبل از هر به‌روزرسانی، فایل‌ها و دیتابیس را پشتیبان‌گیری کنید.
- هسته را به‌روز کنید. به ۷٫۱٫۴ یا نسخه اصلاحی شاخه خودتان بروید. اگر به‌روزرسانی خودکار فعال است، صفحه به‌روزرسانی را بررسی کنید و مطمئن شوید واقعاً انجام شده است.
- پوشه upgrade را ببندید (اگر دسترسی سرور دارید). توضیح در بخش بعد.
- افزونه‌ها و قالب‌ها را هم به‌روز کنید. ۷٫۱٫۴ چند مشکل XSS دیگر هم اصلاح کرده است. جزئیات به‌روزرسانی امن را در راهنمای به‌روزرسانی سایت وردپرسی نوشته‌ایم.
- نشانه‌های نفوذ را بررسی کنید. مخصوصاً اگر مدتی روی نسخه قدیمی بوده‌اید.
- اگر مشکلی پیش آمد، برای خطاهای PHP بعد از به‌روزرسانی، مقاله خطاهای رایج PHP را ببینید.
بستن پوشه upgrade در وب‌سرور
Patchstack پیشنهاد می‌کند دسترسی وب به wp-content/upgrade/ مسدود شود و فهرست‌شدن پوشه هم ممکن نباشد. این پوشه بین به‌روزرسانی‌ها فقط یک فایل index.php دارد و مسدود کردن دسترسی وب به آن، کار عادی سایت را خراب نمی‌کند، چون وردپرس برای به‌روزرسانی از مسیر فایل‌سیستم سرور کار می‌کند، نه از مسیر مرورگر. نکته مهم این است که فایروال‌های داخل وردپرس این حمله را نمی‌بینند، چون درخواست مستقیم به یک فایل PHP موقت می‌رود و خود وردپرس لود نمی‌شود. برای همین مسدودسازی باید در سطح وب‌سرور باشد.
نمونه قاعده برای Apache یا LiteSpeed در فایل .htaccess ریشه سایت:
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]و برای Nginx:
location ^~ /wp-content/upgrade/ {
deny all;
}این دو نمونه برداشت ما از توصیه Patchstack هستند و نسخه رسمی آن نیستند، پس قبل از اعمال از فایل تنظیمات بکاپ بگیرید و بعد از اعمال، سایت و پیشخوان را تست کنید. اگر هاست اشتراکی دارید و به تنظیمات سرور دسترسی ندارید، از پشتیبانی هاست بپرسید این قاعده روی سرور اعمال شده است یا نه. این قاعده جایگزین به‌روزرسانی نیست و فقط یک لایه محافظت اضافه می‌کند.
نشانه‌های نفوذ را کجا ببینیم؟
Wordfence برای سایت‌هایی که مدتی بدون وصله ماندند این بررسی‌ها را توصیه می‌کند:
- در لاگ وب‌سرور دنبال درخواست به فایل‌های PHP داخل
wp-content/upgrade/بگردید. - در بخش کاربران، حساب‌های مدیر ناآشنا را بررسی کنید.
- افزونه‌هایی را که خودتان نصب نکرده‌اید پیدا کنید.
- در پوشه‌های wp-content و wp-includes دنبال فایل‌های PHPی بگردید که کسی آن‌ها را نگذاشته است.
اگر موردی پیدا کردید، سایت را از دسترس خارج کنید، از بکاپ سالم بازگردانی کنید، همه رمزها و کلیدهای امنیتی را عوض کنید و در صورت نیاز از متخصص کمک بگیرید. راهنمای رسمی وردپرس درباره سایت هک‌شده در بخش «FAQ My site was hacked» مستندات وردپرس آمده است.
فهرست CISA چه چیزی را ثابت می‌کند؟
CISA این آسیب‌پذیری را در ۳ نوامبر به فهرست Known Exploited Vulnerabilities اضافه کرد. طبق شمارش یک رسانه صنعت هاستینگ، این چهارمین ضعف هسته وردپرس در این فهرست از ژوئیه است. چند نکته برای تفسیر درست:
- ورود به این فهرست یعنی شواهد معتبری از تلاش برای سوءاستفاده وجود دارد. تعریف CISA هم تلاش‌های ناموفق را شامل می‌شود، ولی اسکن صرف را نه.
- این ورود به‌تنهایی ثابت نمی‌کند سایت‌های وردپرسی هک شده‌اند. گزارش Wordfence از بیش از ۱۸٬۵۰۰ درخواست به مسیرهای نصب‌کننده در ۲۱ ساعت اول پس از فعال شدن قاعده‌اش حرف می‌زند، ولی آن را کاوش می‌داند و نفوذ موفق گزارش نکرده است.
- مهلت ۶ نوامبر که در فهرست آمده فقط برای نهادهای غیرنظامی فدرال آمریکا الزام‌آور است. اما CISA به همه سازمان‌ها توصیه می‌کند این موارد را در اولویت بگذارند.
ارتباط با آسیب‌پذیری‌های PHP
این مشکل جدا از دو آسیب‌پذیری بحرانی خود PHP است که ۲۱ اکتبر اصلاح شد. وردپرس درباره آن‌ها هم هشدار رسمی داد و نوشت نسخه‌های قدیمی‌تر از PHP 8.2 دیگر وصله امنیتی نمی‌گیرند. جزئیات آن را در مقاله PHP2Shell چیست؟ نوشته‌ایم. اگر روی هاست مشترک هستید، نسخه PHP را از پنل بررسی کنید و اگر قدیمی است، از پشتیبانی هاست درباره ارتقا بپرسید.
سؤالات متداول
WordPress 7.1.4 چه چیزی را اصلاح می‌کند؟
یک نسخه امنیتی است که چند مشکل را اصلاح می‌کند، از جمله ضعف فرایند به‌روزرسانی که در بازه به‌روزرسانی می‌تواند به اجرای کد از راه دور برسد و چند مورد XSS ذخیره‌شده در بلوک‌ها و API تعاملی.
CVE-2026-119977 چیست؟
شناسه آسیب‌پذیری شرایط رقابتی در به‌روزرسانی هسته وردپرس است که در ۷٫۱٫۴ اصلاح شد. Wordfence در رکورد CVE آن را ۸٫۱ امتیاز داده، در حالی که مشاوره امنیتی وردپرس شدتش را پایین دانسته است.
آیا باید سایتم را موقتاً آفلاین کنم؟
برای این آسیب‌پذیری معمولاً لازم نیست. به‌روزرسانی فوری و بستن پوشه upgrade کافی است. توصیه آفلاین شدن در هشدار رسمی وردپرس مربوط به نسخه‌های بدون پشتیبانی PHP است، آن هم برای کسانی که سرور خودشان را مدیریت می‌کنند.
اگر به‌روزرسانی خودکار فعال است، باز هم باید کاری کنم؟
صفحه به‌روزرسانی‌ها را یک بار ببینید و مطمئن شوید سایت واقعاً به ۷٫۱٫۴ یا نسخه اصلاحی شاخه‌اش رسیده است. به‌روزرسانی خودکار گاهی به‌خاطر خطای دسترسی یا تنظیمات هاست انجام نمی‌شود.
فایروال افزونه‌ای مثل Wordfence کافی است؟
خیر. گزارش‌ها می‌گویند فایروال داخل وردپرس درخواست مستقیم به فایل موقت را نمی‌بیند. Wordfence خودش هم تأکید می‌کند فایروال خطر را کم می‌کند ولی جای به‌روزرسانی را نمی‌گیرد.
چطور بفهمم سایتم هک شده است؟
مدیرهای ناآشنا، افزونه‌های نصب‌نشده توسط خودتان، فایل‌های PHP مشکوک و درخواست‌های غیرعادی به پوشه upgrade را در لاگ‌ها بررسی کنید. اگر مطمئن نیستید از یک متخصص امنیت کمک بگیرید.
از کجا شروع کنید؟
همین الان وارد پیشخوان شوید، نسخه وردپرس را ببینید و اگر پایین‌تر از ۷٫۱٫۴ (یا نسخه اصلاحی شاخه‌تان) است، بعد از بکاپ آن را به‌روز کنید. این کار چند دقیقه وقت می‌گیرد و مهم‌ترین قدم است. اگر مدیریت امنیت، بکاپ و به‌روزرسانی سایت را نمی‌خواهید خودتان انجام دهید، می‌توانید از صفحه ارتباط با ما با تیم کیاهاست صحبت کنید.
منابع: اطلاعیه رسمی WordPress 7.1.4 · هشدار رسمی وردپرس درباره PHP · گزارش Wordfence · تحلیل Patchstack · فهرست KEV سازمان CISA
مشاوره رایگان طراحی سایت و اپلیکیشن اندروید
برای طراحی سایت یا ساخت اپلیکیشن اندروید کسب‌وکارتان سؤال دارید؟ کارشناسان کیاهاست در واتساپ، رایگان راهنمایی‌تان می‌کنند.
دریافت مشاوره رایگان در واتساپ
شماره واتساپ: 09396147711
