نشرة مركز الاستجابة الأمنية كارن آي تي (KSRC)

رقم الإرشاد: KSRC-2026-11051 | تاريخ النشر: 05 نوفمبر 2026

تنفيذ تعليمات برمجية عن بُعد حرج أثناء تحديثات نواة ووردبريس
CVE-2026-119977

الملخص

تم اكتشاف ثغرة عالية الخطورة في نواة ووردبريس (WordPress Core) تسمح لمهاجم عن بُعد غير مصادق عليه بتنفيذ تعليمات برمجية عن بُعد (RCE) أثناء عملية ترقية النواة. تحمل هذه الثغرة المعرّف CVE-2026-119977 وقد تم تقييمها بدرجة خطورة 8.1 (عالية) وفق معيار CVSS v3.1.

يتم استغلال هذه الثغرة بشكل نشط في الطبيعة، وقد أُضيفت إلى كتالوج الثغرات المستغلة المعروفة (KEV) التابع لـ CISA في 3 نوفمبر 2026. نحثّ المؤسسات وأصحاب المواقع الذين يديرون نسخ ووردبريس ذاتية الاستضافة على التحديث فوراً.

نظرة تقنية

الثغرة هي حالة سباق من نوع Time-of-Check Time-of-Use (TOCTOU - CWE-367) في مُحدّث نواة ووردبريس. أثناء ترقية كاملة لحزمة النواة، يقوم ووردبريس باستخراج حزمة التحديث في مجلدات staging قابلة للتنبؤ وقابلة للوصول من الويب (عادةً تحت wp-content/upgrade/). يمكن للمهاجم الذي يصل إلى هذه المسارات المؤقتة خلال نافذة الترقية القصيرة التدخل في العملية، مما قد يؤدي إلى استبدال ملفات حساسة مثل wp-config.php أو تنفيذ تعليمات برمجية عشوائية.

نافذة الهجوم قصيرة (غالباً بضع ثوانٍ فقط في ظروف المختبر)، ولهذا صنّف ووردبريس المشكلة في البداية على أنها منخفضة الخطورة. ومع ذلك، فإن الجمع بين الوصول غير المصادق عليه، والانتشار الواسع لووردبريس، والمسح بحجم كبير جعل الثغرة قابلة للاستغلال عملياً. منح Wordfence (الجهة المُعيّنة لـ CNA) درجة CVSS أعلى تبلغ 8.1 تعكس التأثير الواقعي.

يمكن أن يؤدي الاستغلال الناجح إلى اختراق كامل للموقع، بما في ذلك القدرة على إنشاء حسابات مدير، وتثبيت إضافات خبيثة، أو تنفيذ تعليمات PHP عشوائية على الخادم.

الأنظمة المتأثرة

إصدارات نواة ووردبريس من 4.7 حتى 7.1.3 متأثرة. تم إصدار إصدارات مُصلحة لجميع الفروع المدعومة:

• WordPress 7.1.x → 7.1.4
• WordPress 7.0.x → 7.0.8
• WordPress 6.9.x → 6.9.11
• WordPress 6.8.x → 6.8.12
• وإصدارات أمنية مقابلة مُرحّلة إلى الفروع حتى 4.7

يجب على المواقع التي تعمل بإصدارات غير مدعومة (4.6 وما قبلها) الترقية إلى فرع مدعوم حالياً.

حالة الاستغلال

• تم تأكيد الاستغلال النشط وإضافتها إلى كتالوج CISA KEV في 3 نوفمبر 2026.
• طُلب من الوكالات المدنية الفيدرالية إصلاح الثغرة بحلول 6 نوفمبر 2026.
• رصدت شركات الأمن حجمًا عاليًا من الاستعلامات على مسارات مثبت staging بعد وقت قصير من الإفصاح.
• مواد إثبات المفهوم ومحاولات الاستغلال متداولة علناً.

التوصيات

1. الإجراء الفوري: قم بتحديث جميع تثبيتات ووردبريس ذاتية الاستضافة إلى أحدث إصدار مُصلح من فرعك (يفضل 7.1.4 أو الإصدار الأمني المكافئ لفرعك) في أقرب وقت ممكن.
2. عند إجراء التحديث، فكّر في تقييد الوصول العام مؤقتاً إلى مجلدي wp-admin و wp-content/upgrade (عبر جدار الحماية أو قواعد خادم الويب أو وضع الصيانة) لتقليل نافذة الهجوم.
3. بعد التحديث، راجع نظام الملفات بحثاً عن ملفات PHP غير متوقعة، خاصة في wp-content و wp-includes والمجلد الجذري. تحقق من وجود حسابات مدير غير مصرح بها.
4. راجع سجلات خادم الويب وووردبريس بحثاً عن طلبات غير معتادة تستهدف مسارات الترقية أو setup-config حول وقت أي تحديثات حديثة.
5. تأكد من تفعيل التحديثات التلقائية حيثما كان ذلك ممكناً عملياً، وراقب الإصدارات الأمنية المستقبلية.
6. في حال الاشتباه في حدوث اختراق، اتبع إجراءات الاستجابة للحوادث: أوقف الموقع إذا لزم الأمر، وقم بمراجعة جنائية، ودوّر جميع بيانات الاعتماد والأسرار، واستعد من نسخة احتياطية نظيفة معروفة إذا لزم الأمر.

نظراً لانتشار ووردبريس الواسع والاستغلال النشط المؤكد، ينبغي التعامل مع هذه الثغرة كخطر ذي أولوية عالية لأي تثبيت ذاتي الاستضافة معرض للإنترنت.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.