تعرضت النسخة المدفوعة من إضافة تحسين محركات البحث الشهيرة Rank Math PRO لهجوم خطير أدى إلى توزيع حزم مصابة ببرمجيات خبيثة عبر قناة التحديث الرسمية للشركة، ما أثار مخاوف واسعة داخل مجتمع ووردبريس بشأن سلامة سلاسل التوريد البرمجية وإمكانية اختراق المواقع حتى عند الاعتماد على تحديثات شرعية صادرة من المورد نفسه.
ووفقاً لإشعار أمني نشرته الشركة، فإن النسخ التي جرى تنزيلها من موقع Rank Math الرسمي أو تثبيتها عبر التحديثات خلال الفترة الممتدة بين 15 و16 أكتوبر 2026 تضمنت شيفرات خبيثة قادرة على زرع باب خلفي دائم داخل الخوادم المستهدفة.
وحذرت الشركة من أن أي موقع قام بتثبيت وتفعيل تلك النسخ خلال الفترة المذكورة يجب اعتباره مخترقاً بالكامل إلى حين إثبات العكس، نظراً لقدرة البرمجية الخبيثة على إعادة إنشاء الباب الخلفي تلقائياً حتى بعد حذف بعض الملفات المصابة.
التهديد لا يرتبط برقم الإصدار فقط
أوضحت Rank Math أن تحديد المواقع المتضررة لا يعتمد على رقم الإصدار وحده، لأن الإصدار 3.0.123 كان قد صدر بشكل شرعي في السابع من أكتوبر، أي قبل بدء نافذة الاختراق بأكثر من أسبوع.
وبالتالي فإن المواقع التي حمّلت الإصدار نفسه قبل الساعة 20:02 بالتوقيت العالمي يوم 15 أكتوبر لا تدخل ضمن نطاق الحادثة المعروفة.
وقسمت الشركة المستخدمين إلى ثلاث فئات رئيسية:
الفئة الأولى تشمل المواقع التي قامت بتثبيت وتفعيل الإصدار 3.0.123 خلال فترة الاختراق، وهي مطالبة باعتبار الموقع مخترقاً حتى لو تمت ترقيته لاحقاً إلى الإصدار النظيف 3.0.124.
أما الفئة الثانية فتضم المستخدمين الذين قاموا بتثبيت الإضافة المصابة دون تفعيلها، حيث أوصت الشركة بحذف ملفات الإضافة وإعادة تنزيل النسخة السليمة وإجراء فحص أمني شامل.
في حين أن المستخدمين الذين اكتفوا بتنزيل الملفات دون تثبيت أو تفعيل الإضافة لا توجد مؤشرات حالية على تأثر مواقعهم بالحادث.
وأكدت الشركة أن الحادث يقتصر على النسخة المدفوعة Rank Math PRO التي يتم تنزيلها من الموقع الرسمي للشركة، بينما لم تتأثر النسخة المجانية المتاحة عبر مستودع WordPress.org والتي تتجاوز أربعة ملايين عملية تثبيت نشطة.
باب خلفي قادر على استعادة نفسه تلقائياً
تشير المعلومات المتوافرة إلى أن البرمجية الخبيثة لم تقتصر على فتح منفذ سري داخل الموقع، بل امتلكت آليات تسمح لها بالحفاظ على وجودها واستعادته تلقائياً بعد محاولات التنظيف.
وبحسب التحذيرات الصادرة عن Rank Math وخبراء Wordfence، فإن المهاجمين ربما قاموا بزرع ملفات PHP خبيثة في مواقع متعددة داخل الخادم، بما في ذلك مجلدات القوالب والإضافات الأخرى ومجلدات mu-plugins المخصصة للتشغيل الإجباري.
كما قد تكون البرمجية أنشأت حسابات مديرين جدد داخل ووردبريس، وأضافت ملفات مزيفة تحاكي ملفات النظام الأساسية، وعدلت إعدادات .htaccess بحيث تسمح بتشغيل ملفات ذات امتداد .cache على أنها ملفات PHP قابلة للتنفيذ.
ولم تستبعد التحقيقات احتمال قيام المهاجمين بإضافة مفاتيح SSH أو مهام مجدولة Cron Jobs تسمح بإعادة تنشيط الباب الخلفي حتى بعد إزالة الملفات الأساسية المستخدمة في الاختراق.
لهذا السبب شدد الباحثون على أن حذف الملفات المشبوهة قبل إزالة الآلية المسؤولة عن إعادة إنشائها قد يؤدي إلى فشل عملية التنظيف بالكامل.
بيانات الاعتماد والمفاتيح السرية في دائرة الخطر
حذرت الشركة من ضرورة افتراض تعرض جميع الأسرار الرقمية المخزنة داخل الموقع للخطر.
ويشمل ذلك كلمات مرور ووردبريس، وبيانات قواعد البيانات، ومفاتيح واجهات البرمجة API، واعتمادات بوابات الدفع الإلكتروني، وحسابات SMTP، بالإضافة إلى جميع المفاتيح المخزنة داخل المتغيرات البيئية للخادم.
ومنحت منصة Wordfence الحادثة درجة خطورة بلغت 9.8 من أصل 10، وصنفتها تحت المعرف الأمني CVE-2026-111862، ما يعكس شدة التأثير المحتمل على المواقع المتضررة.
أما شركة Patchstack فوصفت الحادث بأنه باب خلفي مباشر ناتج عن اختراق قناة التوزيع نفسها، مشيرة إلى أن الحماية التقليدية المعتمدة على قواعد منع الاستغلال لا توفر وسيلة فعالة للتخفيف من هذه الحالة، لأن الملفات الخبيثة صدرت من المصدر الرسمي للتحديثات.
خطوات الاستجابة واستعادة المواقع المصابة
توصي Rank Math بأن يكون الخيار الأول للمستخدمين هو استعادة نسخة احتياطية نظيفة أُنشئت قبل بدء نافذة الاختراق في 15 أكتوبر.
وبعد الاستعادة يجب تنفيذ فحص أمني شامل وتغيير جميع كلمات المرور وبيانات الاعتماد قبل تثبيت الإصدار النظيف 3.0.124.
وفي حال عدم توافر نسخة احتياطية سليمة، أوصت الشركة باتباع تسلسل صارم في عملية المعالجة يبدأ بحذف مجلد rank-math-pro بالكامل من الخادم وعدم الاكتفاء بإلغاء تفعيل الإضافة فقط.
كما يجب إزالة مفاتيح محددة من جدول wp_options وحظر الاتصالات الصادرة إلى النطاق:
rank1cdn[.]com
الذي تشير السجلات إلى أنه سُجل قبل وقت قصير من بدء الحملة.
بعد ذلك ينبغي البحث عن الملفات المزروعة والحسابات الإدارية المشبوهة والمهام المجدولة والإعدادات المعدلة داخل الخادم وإزالتها بعناية، مع مراجعة كافة آليات الوصول البعيد.
هجمات متكررة تستهدف قنوات تحديث إضافات ووردبريس
تكشف هذه الحادثة عن اتجاه مقلق شهده نظام ووردبريس خلال عام 2026، حيث لم تعد الهجمات تركز على استغلال ثغرات داخل الإضافات فقط، بل باتت تستهدف قنوات التحديث الرسمية الخاصة بالمطورين أنفسهم.
ففي أبريل الماضي تعرضت إضافة Smart Slider 3 Pro لحادث مشابه تم خلاله توزيع نسخة تحتوي على باب خلفي عبر نظام التحديث الرسمي للشركة المطورة.
كما شهد يونيو الماضي حادثة أخرى طالت إضافات مدفوعة تابعة لشركة ShapedPlugin بعد اكتشاف تعديل حزم التحديث وتوزيع نسخ خبيثة على المستخدمين.
وتشير هذه الحوادث المتكررة إلى أن سلاسل التوريد البرمجية أصبحت إحدى أكثر النقاط استهدافاً في منظومة ووردبريس الحديثة، حيث يكفي اختراق مزود واحد للوصول إلى آلاف المواقع التي تثق تلقائياً في التحديثات القادمة من القنوات الرسمية.
