ان‍ت‍ش‍ار ن‍س‍خ‍ه ام‍ن‍ی‍ت‍ی ۷.۱.۲ وردپ‍رس

در این مقاله توضیح می‌دهم چه اتفاقی افتاده، این آسیب‌پذیری چطور کار می‌کند، چه سایت‌هایی بیشتر در خطرند و چه کارهایی باید انجام دهید.

نسخه ۷.۱.۲ دقیقاً چیست؟

نسخه‌های امنیتی وردپرس معمولاً کوچک و سریع منتشر می‌شوند و هدفشان بستن یک یا چند حفره است. بنا بر گزارش پچ‌استک، ۷.۱.۲ یک نسخه صرفاً امنیتی با فقط یک رفع اشکال است، اما همان یک مورد از جدی‌ترین مشکلاتی است که اخیراً در وردپرس وصله شده است. یعنی تعداد تغییرات کم است، ولی وزن آن یک تغییر بالاست. Patchstack

مشکل با شناسه CVE-2026-87902 ثبت شده است. این آسیب‌پذیری در سیستم امتیازدهی CVSS نسخه ۴.۰ نمره ۹.۲ گرفته و در دسته بحرانی قرار دارد. نمره‌ای در این حدود یعنی مهاجم به احتمال زیاد بدون مانع جدی می‌تواند از آن سوءاستفاده کند و پیامدش سنگین است. BetaNews

آسیب‌پذیری چه می‌کند؟

وردپرس برای نمایش هر صفحه باید تصمیم بگیرد کدام فایل قالب (Template) را از پوشه پوسته بارگذاری کند. مشکل در تابع get_page_template() است، همان تابعی که فایل پوسته‌ای را که یک صفحه با آن نمایش داده می‌شود انتخاب می‌کند. Help Net Security

طبق اطلاعیه رسمی، یک مهاجم بدون احراز هویت می‌تواند در شرایطی خاص باعث شود فرایند پیدا کردن قالب صفحه، یک فایل PHP دلخواه و قابل‌خواندن را از بیرون پوشه‌های پوسته فعال بارگذاری کند. اگر پیش‌شرط‌های مربوط به سرور و پوسته فراهم باشد، این می‌تواند به اجرای کد از راه دور (RCE) برسد. WordPress

به زبان ساده، مهاجم می‌تواند وردپرس را فریب دهد تا فایلی را اجرا کند که نباید اجرا شود. در دنیای امنیت به این دسته از مشکلات «گنجاندن فایل محلی» یا Local File Inclusion می‌گویند. وقتی این مشکل به اجرای کد برسد، عملاً کنترل سرور در معرض خطر قرار می‌گیرد: نصب بدافزار، سرقت اطلاعات کاربران، تزریق لینک‌های اسپم یا هر کار دیگری.

نکته نگران‌کننده این است که مهاجم نیازی به حساب کاربری در سایت ندارد و لازم نیست هیچ کاربری کاری انجام دهد. برخلاف خیلی از باگ‌ها که به دسترسی نویسنده یا مدیر نیاز دارند، اینجا کسی که هیچ دسترسی‌ای ندارد هم می‌تواند تلاش کند. Help Net Security

چه نسخه‌هایی تحت تأثیر هستند؟

دامنه تأثیر بسیار وسیع است. این آسیب‌پذیری همه نسخه‌ها از ۴.۷.۰ تا ۷.۱.۱ را در بر می‌گیرد. یعنی سایتی که سال‌ها به‌روز نشده هم در فهرست است. Help Net Security

خبر خوب این است که تیم وردپرس این‌بار هم مثل موارد قبل به نسخه‌های قدیمی‌تر فکر کرده است. وصله امنیتی به‌عنوان یک لطف به همه شاخه‌هایی که واجد دریافت اصلاحات امنیتی هستند (فعلاً تا ۴.۷) بک‌پورت شده است. برای نمونه، نسخه‌های ۴.۷.۳۷، ۴.۸.۳۲ و ۴.۹.۳۳ برای شاخه‌های قدیمی منتشر شده‌اند. با این حال تیم وردپرس یادآوری می‌کند که فقط جدیدترین نسخه وردپرس به‌طور فعال پشتیبانی می‌شود. بنابراین بهترین کار ارتقا به ۷.۱.۲ است، نه ماندن روی شاخه قدیمی. WordPressWordPress

همه سایت‌ها به یک اندازه در خطر نیستند

این نکته را باید دقیق بدانید: مثل هر مشکل امنیتی مشابه، بهره‌برداری موفق به «شرایط خاص» بستگی دارد. طبق گزارش بتانیوز، از جمله شرایطی که ذکر شده این است که پوسته فعال، چه فرزند و چه والد، باید یک پوشه سطح بالا داشته باشد که نامش با page- شروع می‌شود (مثلاً page-templates). همین گزارش می‌گوید پوسته‌های قدیمی Twenty Twelve و Twenty Fourteen و همچنین برخی پوسته‌های محبوب شخص ثالث مثل Neve، Hestia و Sydney از این دسته‌اند. BetaNewsBetaNews

پس اگر از یکی از این پوسته‌ها استفاده می‌کنید، اولویت به‌روزرسانی برای شما بالاتر است. اما نتیجه نگیرید که «پوسته من در فهرست نیست، پس ایمنم». شرایط سرور هم نقش دارد، فهرست بالا کامل نیست و رویکرد درست در امنیت این است که وقتی وصله رسمی منتشر شده، منتظر اثبات خطر نمانید.

یک تغییر دفاعی هوشمندانه

جالب است که وصله فقط یک اعتبارسنجی ساده نیست. تحلیل پچ‌استک می‌گوید افزودن بررسی‌ای که هر مسیر قالب را ملزم می‌کند داخل پوشه stylesheet، پوشه template یا theme-compat باشد، نشان می‌دهد تیم امنیتی با «انتخاب قالب» به‌عنوان یک دسته مشکل برخورد کرده و به یک باگ منفرد بسنده نکرده است. این یعنی لایه دفاعی عمومی‌تری اضافه شده که جلوی مسیرهای مشابه احتمالی را هم می‌گیرد. Patchstack

چه کسی آن را کشف کرد؟

تیم امنیتی از رابرت رسل (Robert Ressl) برای افشای مسئولانه این مشکل تشکر کرده و رهبری این انتشار با جان بلک‌بورن (John Blackbourn) بوده است. افشای مسئولانه یعنی پژوهشگر ابتدا به تیم امنیتی اطلاع می‌دهد و بعد از آماده‌شدن وصله، جزئیات علنی می‌شود. اگر همه چنین کنند، اکوسیستم امن‌تر می‌ماند. WordPress

حالا چه کار کنم؟ راهنمای عملی

۱. قبل از هر کاری بکاپ بگیرید. هم از فایل‌ها و هم از پایگاه داده. بیشتر به‌روزرسانی‌ها بدون مشکل انجام می‌شوند، اما بکاپ بیمه شماست.

۲. سایت را به‌روزرسانی کنید. می‌توانید وردپرس ۷.۱.۲ را از WordPress.org دانلود کنید یا از پیشخوان به بخش «به‌روزرسانی‌ها» بروید و «به‌روزرسانی» را بزنید. سایت‌هایی که به‌روزرسانی خودکار در پس‌زمینه دارند، این فرایند را خودشان شروع می‌کنند. بعد از آن نسخه را در پیشخوان بررسی کنید که واقعاً ۷.۱.۲ (یا نسخه اصلاح‌شده شاخه خودتان) باشد. WordPress

۳. اگر وردپرس را مدیریت‌شده روی هاست دارید، بررسی کنید. برخی سرویس‌دهنده‌ها لایه محافظتی موقت گذاشته‌اند؛ مثلاً پنتیون قبلاً وصله مجازی روی شبکه مسیریابی خود اعمال کرده، ولی تأکید دارد مشتریان باید هرچه زودتر سایت‌شان را به‌روز کنند. وصله مجازی جای به‌روزرسانی واقعی را نمی‌گیرد. Pantheon

۴. پوسته و افزونه‌ها را هم مرور کنید. پوسته‌های بلااستفاده را حذف کنید و افزونه‌ها را به‌روز نگه دارید. هر چه سطح حمله کوچک‌تر باشد، بهتر است.

۵. نشانه‌های نفوذ را بررسی کنید. اگر سایت مدتی بدون به‌روزرسانی بوده، فایل‌های ناشناس در پوشه‌ها، کاربران مدیر جدید و تغییرات مشکوک در لاگ‌ها را بررسی کنید. یک اسکن امنیتی با افزونه‌های معتبر یا با کمک هاست هم مفید است.

۶. به‌روزرسانی خودکار را فعال بگذارید. برای سایت‌های کوچک و متوسط، فعال بودن به‌روزرسانی خودکار نسخه‌های امنیتی بهترین محافظ در برابر ماجراهایی مثل این است.

نگرانی از خراب‌شدن سایت؟

یکی از دلایل رایج تعلل، ترس از ناسازگاری است. اما نسخه ۷.۱.۲ تغییر گسترده‌ای ندارد و در عمل فقط یک نقطه حساس را اصلاح می‌کند، پس احتمال ناسازگاری بسیار کم است. اگر سایت پیچیده‌ای دارید، اول روی نسخه آزمایشی (Staging) امتحان کنید و بعد روی سایت اصلی اعمال کنید. اما این آزمایش نباید به روزها تأخیر تبدیل شود.

جمع‌بندی

نسخه امنیتی وردپرس ۷.۱.۲ با اینکه هیچ قابلیت جدیدی ندارد، از مهم‌ترین به‌روزرسانی‌های امسال است. آسیب‌پذیری CVE-2026-87902 بدون نیاز به ورود به سایت قابل بهره‌برداری است، نسخه‌های بسیار زیادی را شامل می‌شود و در بدترین حالت می‌تواند به اجرای کد روی سرور برسد. شرایط بهره‌برداری محدودکننده است، ولی نباید روی آن حساب باز کرد.

کاری که باید همین امروز انجام دهید ساده است: بکاپ بگیرید، به پیشخوان بروید، به‌روزرسانی را بزنید و نسخه را تأیید کنید. چند دقیقه وقت، در برابر خطر از دست رفتن کل سایت، معامله‌ای بسیار ارزان است.

اگر می‌خواهید، می‌توانم این متن را به‌صورت فایل هم برایتان آماده کنم، یا نسخه‌ای کوتاه‌تر برای شبکه‌های اجتماعی و خبرنامه بنویسم.