كشفت شركة Patchstack المتخصصة في أمن ووردبريس عن استغلال نشط في البرية لثغرة أمنية بالغة الخطورة تؤثر على إضافة Bricksforge الخاصة بووردبريس، وهي ثغرة حاصلة على تقييم 10.0 من نظام CVSS وهو الحد الأقصى، ما يسمح للمهاجمين غير المصادق عليهم برفع وتنفيذ شيفرة PHP عشوائية على المواقع المصابة، وهو ما يُعرف بتنفيذ الشيفرة عن بعد.
الثغرة المعنية تحمل المعرّف CVE-2026-85097 وتؤثر على إصدارات Bricksforge حتى الإصدار 3.1.8.9 ضمناً، وقد صدرت تصحيحات في الإصدار 3.1.8.10. وإضافة Bricksforge هي أداة لووردبريس تُسوَّق على أنها حل شامل لمنشئ المواقع المرئي Bricks، وتدعم الرسوم المتحركة والنماذج المتقدمة وتسلسلات الفيديو أثناء التمرير.
كيف تعمل سلسلة الاستغلال في أربع خطوات؟
أوضحت Patchstack أنها رصدت محاولات استغلال تستهدف الثغرة في 7 أكتوبر 2026 عند الساعة 9:47 مساءً بتوقيت UTC. وتكمن المشكلة في أن Bricksforge تتحقق من نوع MIME للملف عند رفعه أول مرة، لكنها تثق لاحقاً بالبيانات الوصفية التي يرسلها العميل عند إرسال النموذج، ولا تتحقق تحديداً من حقل الرابط داخل معامل temporaryFileUploads. وينبع الخلل من التحقق غير الكافي من حقل الرابط في هذا المعامل أثناء إرسال النموذج، ويمكن للمهاجم استغلاله لتحقيق تنفيذ الشيفرة عن بعد عبر أربع خطوات.
تبدأ الخطوات بطلب رمز nonce صالح من نقطة النهاية غير المصادق عليها bricksforge_regenerate_nonce، ثم رفع ملف هجين من نوع GIF وPHP وهو ملف يمثل صورة صالحة لكنه يحتوي أيضاً على شيفرة PHP، فيجتاز فحص نوع MIME ويستقر في مجلد الرفع المؤقت. بعد ذلك يُرسل نموذج يشير فيه مسار الملف إلى تلك الصورة المتحقق منها، بينما ينتهي حقل الرابط بامتداد PHP، فتثق Bricksforge ضمنياً بالبيانات الوصفية المرسلة وتضع محتوى الملف في مسار PHP، ما يؤدي إلى تنفيذ الشيفرة المضمنة عند طلب ذلك الملف.
وقالت Wordfence في تنبيهها بشأن الثغرة إن المهاجم غير المصادق عليه يمكنه أولاً الحصول على رمز nonce صالح عبر نقطة نهاية bricksforge_regenerate_nonce، ثم رفع ملف هجين من نوع GIF وPHP إلى مجلد الرفع المؤقت حيث يُنفذ التحقق من نوع MIME بشكل صحيح، وبعدها يمكنه إرسال نموذج بمعامل temporaryFileUploads مصمم بعناية يشير فيه مسار الملف من جهة الخادم إلى ملف GIF المتحقق منه، بينما ينتهي حقل الرابط الذي يتحكم به المهاجم بامتداد php.
محاولات آلية عبر بروكسيات متغيرة
يؤدي الاستغلال الناجح للثغرة إلى تنفيذ PHP عشوائي على الخادم، وهو ما يمكن للمهاجم استغلاله للسيطرة على موقع ووردبريس ونشر صدفات ويب وقراءة بيانات حساسة وتأسيس وصول مستمر. وفي الهجمات التي رصدتها Patchstack، استهدف فاعلو التهديد نقطة نهاية إرسال النماذج في واجهة Bricksforge REST API على المسار wp-json/bricksforge/v1/form_submit، أو نقطة النهاية wp-admin/admin-ajax.php بإجراء bricksforge_form_submit مع معامل temporaryFileUploads مصمم بعناية.
ووفقاً لما حددته Wordfence، يستغل فاعلو التهديد عدم تطابق حيث يكون وسيط الملف المحدد ملف GIF أو PNG، بينما يشير الرابط الفعلي إلى حمولة PHP. وللتحايل على تصفية الامتدادات، تستخدم أنشطة الاستغلال امتدادات PHP بديلة مثل php5 وphp7 وphtml، وتلاعباً بحالة الأحرف مثل PHP وPhp وpHp، وامتدادات مُرمزة مثل النماذج التي تستخدم الترميز المئوي للحروف.
وقالت Patchstack إن مجموعتين تبرزان في بيانات الرصد الخاصة بها، ففي الأولى أرسل 44 عنوان IP نحو 56 طلباً بحمولات متطابقة في غضون ثوانٍ من بعضها، وفي الثانية اختبرت ثلاثة عناوين IP نحو 25 تنويعاً من امتدادات PHP وترميزاتها ضد الملف المؤقت نفسه. وأضافت أن كلا النمطين يشير إلى استغلال آلي عبر بروكسيات متغيرة أو بنية تحتية موزعة، لكنهما لا ينسبان النشاط بمفردهما إلى فاعل تهديد واحد.
ورُصد النشاط من 63 عنوان IP مصدراً فريداً، ستة منها مسؤولة عن نحو 46 بالمئة من جميع الطلبات، وهي 177.75.57[.]20 و23.97.62[.]146 و84.247.60[.]125 و38.154.185[.]97 و150.109.16[.]166 و153.75.90[.]146. ويُنصح المستخدمون بالتحديث إلى أحدث إصدار من الإضافة وهو 4.0.1 لتخفيف التهديد، كما يُنصح مالكو المواقع بتدقيق الطلبات الواردة إلى نقطة النهاية wp-json/bricksforge/v1/form_submit التي تحتوي على معامل temporaryFileUploads، وكذلك عمليات إرسال النماذج المتكررة وملفات PHP غير المتوقعة في مجلد wp-content/uploads/bricksforge/tmp.
ثغرات إضافيتين في إضافات ووردبريس
يأتي هذا الكشف في وقت يستغل فيه فاعلو التهديد أيضاً ثغرات حقن الشيفرة عبر المواقع في إضافتين غير مرتبطتين بووردبريس، هما WPC Product Bundles for WooCommerce بالمعرّف CVE-2026-93836 وتقييم 7.1، وNinja Forms بالمعرّف CVE-2026-94504 وتقييم 7.1، وذلك لتقديم حمولة جافاسكربت باسم x.js قادرة على نشر إضافة باب خلفي وإنشاء حسابات مسؤول غير شرعية.
وتتميز الإضافة بوجود مدير ملفات غير مصادق عليه يمكن الوصول إليه عبر طلب مباشر إلى ملف PHP الرئيسي للإضافة. كما تنشئ مسؤول ووردبريس مخفياً عن شاشة المستخدمين وتثبّت رابط تسجيل دخول سحرياً يصادق حامله بصفته أقدم مسؤول في الموقع. وقالت Patchstack إن هذا برنامج زرع لما بعد الاستغلال والاستمرارية في ووردبريس مصمم للتنفيذ داخل متصفح مسؤول مسجل الدخول، إذ يستغل بمجرد تفعيله جلسة wp-admin الموثقة للضحية لتثبيت إضافة ووردبريس خبيثة وإنشاء حساب مسؤول جديد واستدعاء آلية استمرارية مخفية إضافية والإبلاغ عن النتائج إلى بنية تحتية يتحكم بها المهاجم.
ومن المهم التأكيد على أن تحديث الإضافات المصابة، وهما الإصدار 8.6.7 لـ WPC Product Bundles for WooCommerce والإصدار 3.15.4 لـ Ninja Forms، يمنع المزيد من الاستغلال لكنه لا يزيل إصابة قائمة. لذا يجب على مالكي المواقع تدقيق المسؤولين المخفيين عبر الاستعلام المباشر من قاعدة البيانات، وفحص مجلد الإضافات الإلزامية، ومراجعة سجلات خادم الويب.
اتجاهات استغلال ووردبريس في الربع الثاني
وفقاً لبيانات Wordfence، نُشر ما مجموعه 2,073 ثغرة مرتبطة بووردبريس في الربع الثاني من 2026، مع ارتفاع عدد الثغرات عالية التهديد بنسبة 15.2 بالمئة عن الربع السابق لتصل إلى 182. وتعرض نحو 573 ألف موقع ووردبريس للاختراق خلال تلك الفترة. وتشمل الثغرات الخمس الأكثر استهدافاً من المهاجمين كلاً من CVE-2024-28000 بتقييم 9.8 في LiteSpeed Cache حتى الإصدار 6.3.0.1 وهي رفع صلاحيات غير مصادق عليه، وCVE-2019-9879 بتقييم 9.8 في WPGraphQL حتى الإصدار 0.2.3 وهي إنشاء مستخدم إداري، وCVE-2016-15042 بتقييم 9.8 في Frontend File Manager وN-Media Post Front-end Form وهي رفع ملفات عشوائي، وCVE-2023-28121 بتقييم 9.8 في WooCommerce Payments من الإصدار 4.8.0 إلى 5.6.1 وهي تجاوز المصادقة ورفع الصلاحيات، وCVE-2025-3102 بتقييم 8.1 في SureTriggers حتى الإصدار 1.0.78 وهي إنشاء مستخدم إداري غير مصادق عليه.
وجاءت الغالبية العظمى من عناوين IP المهاجمة من الولايات المتحدة، تليها ألمانيا والتشيك وأستراليا والنرويج وفرنسا وأوكرانيا وهولندا وسويسرا والبرازيل. وأشارت Wordfence إلى أن جدار حماية قوياً وتصحيحات الثغرات في الوقت المناسب وإعدادات مقواة تساعد في حجب حركة المرور الخبيثة قبل وصولها إلى الموقع، وأن الفحص الشامل يساعد في تحديد الثغرات أو البرمجيات الخبيثة أو التغييرات المشبوهة التي قد تشير إلى محاولة اختراق، كما أن التنبيهات الفورية بالأحداث الحرجة ومحاولات تسجيل الدخول وتغييرات الملفات تساعد في البقاء في مقدمة مواجهة التهديدات.
