رصد باحثون محاولات استغلال متواصلة لثغرة عالية الخطورة في نواة ووردبريس بعد وقت قصير من صدور التصحيحات الخاصة بها. وتتيح الثغرة، التي لم يُخصَّص لها معرّف CVE حتى الآن، تنفيذ تعليمات برمجية عن بعد على الخوادم المتأثرة، وتصيب إصدارات ووردبريس من 4.7 حتى 7.1.3 بتقييم كفس بلغ 8.1. وكانت التصحيحات قد صدرت يوم 28 أكتوبر 2026، ومع ذلك سارع المهاجمون إلى استهدافها بوتيرة لافتة.
كيف تعمل ثغرة تنفيذ التعليمات في نواة ووردبريس
أوضحت شركة ووردفينس المتخصصة في أمن ووردبريس أن الخلل ينبع من استخدام مسارات مرحلية يمكن التنبؤ بها ويمكن الوصول إليها عبر الويب أثناء ترقيات النواة بالحزمة الكاملة. وهذا يمنح مهاجمين غير موثقين فرصة تنفيذ تعليمات على الخادم خلال نافذة الترقية. وتكمن المشكلة في أن الإصدارات المتأثرة تفك ضغط ملفات التحديث الكامل داخل مجلد متوقع تحت المسار wp-content/upgrade، وتتضمن هذه النسخة المؤقتة مثبّت ووردبريس نفسه.
وبما أن المجلد المرحلي متاح عبر الويب على كثير من الخوادم، فإن مهاجماً غير موثق يطلب المثبّت في اللحظة المناسبة تماماً يستطيع التفاعل مع نسخة ووردبريس المرحلية والتقدم نحو تنفيذ شيفرة PHP، بحسب أليكس توماس رئيس فريق الاستجابة للتهديدات في ووردفينس. ويشترط نجاح الهجوم أن يصيب المهاجم نافذة ضيقة جداً أثناء فك ضغط تحديث كامل للنواة، ما يجعل الثغرة أقرب إلى سباق زمني منها إلى استغلال مباشر.
شروط الاستغلال والنافذة الزمنية الضيقة
يستطيع المهاجم الفوز بحالة السباق والحصول على قدرة تنفيذ التعليمات على الخادم إذا توافرت أربعة شروط، وهي وجود تحديث كامل يتضمن ملفات المثبّت، وإتاحة الوصول العام عبر الويب وتشغيل PHP على الشجرة المرحلية، ووجود مسار مرحلي متوقع أو مكتشف، وتوفر وقت كاف لإتمام الهجوم قبل أن ينظف ووردبريس الملفات المؤقتة. ورغم أن هذه النافذة لا تتجاوز ثوانٍ معدودة في بيئات الاختبار المخبرية الاعتيادية، فإن المهاجمين يعوّضون ضيقها بالتكرار الآلي، إذ يستطلعون المسارات الضعيفة مثل ملف setup-config.php مرة بعد مرة على أمل مصادفة لحظة الترقية.
حجم الهجمات المرصودة وسلوك المهاجمين
أعلنت ووردفينس أنها منعت 62969 هجوماً استهدف الثغرة خلال آخر 24 ساعة، وهو رقم يعكس سرعة تحرك المهاجمين بعد صدور التصحيح. وأشار توماس إلى أن مصدرين من أكبر المصادر ظلّا يستطلعان مجموعات صغيرة من المواقع بصورة متكررة لنحو 14.5 ساعة، وهو سلوك يتسق مع محاولة التقاط نافذة الترقية القصيرة. أما مصادر أخرى فاختبرت تنويعات كثيرة من أسماء المجلدات المرحلية وأسماء الإصدارات.
ولم تستخدم كل الطلبات المسار الضعيف بدقة، لكن الاستطلاع المتواصل وفحوص التخطيط الدقيقة تظهر أن المهاجمين أدركوا آلية السباق الزمني بسرعة وبدأوا باستهدافها. ومع بدء الاستغلال فعلياً، يُنصح مالكو مواقع ووردبريس بالتحديث إلى الإصدار 7.1.4 في أقرب وقت ممكن، وبمراجعة الطلبات المشبوهة الموجهة إلى ملفات PHP داخل المسار wp-content/upgrade، إضافة إلى البحث عن حسابات مدراء أو إضافات أو ملفات PHP غير مألوفة قد تدل على اختراق سابق.
