أصدر فريق ووردبريس اليوم WordPress 7.1.2 كتحديث أمني عاجل يعالج ثغرة حرجة يمكن، في ظروف محددة، أن تسمح لمهاجم غير مسجل الدخول بجعل آلية حل قوالب الصفحات تضم ملف PHP محليًا خارج مجلدات القالب النشط. وإذا توفرت الشروط اللازمة في بيئة الخادم والقالب المستخدم، فقد يتطور السيناريو إلى تنفيذ كود عن بُعد على الخادم، ولذلك أوصى فريق ووردبريس بتحديث المواقع فورًا.
الإجابة السريعة
WordPress 7.1.2 هو إصدار أمني صدر في 22 سبتمبر 2026 لإصلاح ثغرة حرجة تحمل المرجع CVE-2026-87902 / GHSA-7hp8-65ch-5whp. الثغرة ليست مسارًا مضمونًا لتنفيذ كود على كل موقع؛ فهي تحتاج إلى شروط مسبقة تتعلق ببيئة الخادم والقالب النشط. لكن فريق ووردبريس صنفها حرجة ويوصي بالتحديث الفوري إلى الإصدار الجديد.
ما الذي يصلحه WordPress 7.1.2؟
بحسب الإعلان الرسمي، المشكلة تتعلق بآلية تحديد قالب الصفحة الذي يجب تحميله. يستطيع مهاجم غير موثق، تحت ظروف معينة، دفع عملية حل قالب الصفحة إلى تضمين ملف PHP محلي قابل للقراءة موجود خارج مجلدات القالب النشط.
هذه النقطة مهمة لأن مجرد القدرة على الإشارة إلى ملف محلي لا تعني تلقائيًا السيطرة على الموقع. لكن إذا اجتمعت الشروط المطلوبة في إعداد الخادم وفي القالب الفعال، تقول ووردبريس إن النتيجة قد تصل إلى Remote Code Execution أو تنفيذ كود عن بُعد. لذلك جاء WordPress 7.1.2 كتحديث أمني مباشر وليس كتحديث صيانة عادي.
الثغرة تحمل CVE-2026-87902
منح المشروع الثغرة المرجع CVE-2026-87902، مع مرجع GitHub Advisory هو GHSA-7hp8-65ch-5whp. الإعلان الرسمي لا يقدم في صفحة الإصدار خطوات استغلال عملية تفصيلية، لكنه يوضح بجلاء أن مستوى الخطورة حرج.
كما شكر فريق الأمان الباحث Robert Ressl على الإبلاغ المسؤول عن المشكلة. وهذا يعني أن الإصلاح وصل إلى المشروع من خلال مسار Disclosure منظم قبل نشر التفاصيل للعامة.
هل كل مواقع ووردبريس معرضة لتنفيذ الكود؟
لا ينبغي قراءة وصف الخطورة بمعنى أن أي موقع قد يُخترق بمجرد معرفة عنوانه. النص الرسمي يضع قيدًا واضحًا: الوصول إلى تنفيذ الكود يحتاج إلى تحقق شروط مسبقة في كل من بيئة الخادم والقالب النشط.
لكن عدم تحقق هذه الشروط في كل موقع لا يجعل تأجيل التحديث فكرة جيدة. مدير الموقع لا يملك دائمًا صورة كاملة عن كل تفاعل بين إعدادات PHP والقالب والخادم، ولهذا أوصى المشروع صراحة بتثبيت WordPress 7.1.2 فورًا بدل انتظار تحليل يدوي لكل بيئة.
التحديث يأتي بعد أيام فقط من WordPress 7.1.1
الإصدار الجديد يصل بعد خمسة أيام من WordPress 7.1.1 الذي صدر في 17 سبتمبر كتحديث صيانة وأمان كبير تضمن 17 إصلاحًا في النواة، و19 إصلاحًا لمحرر المكونات، و11 إصلاحًا أمنيًا.
كما تناولنا على سوالف قبل ذلك تفاصيل ثغرة Click2Shell في ووردبريس التي عالجها 7.1.1 ضمن مجموعة مختلفة من المشكلات. أما WordPress 7.1.2 فهو تحديث منفصل يعالج الثغرة الحرجة الجديدة CVE-2026-87902.
ووردبريس يوصي بالتحديث الفوري
رسالة فريق ووردبريس مباشرة: لأن هذا إصدار أمني، يجب تحديث المواقع فورًا. يمكن تنفيذ ذلك من لوحة التحكم عبر التحديثات ثم التحديث الآن، أو تنزيل النسخة الجديدة من WordPress.org.
المواقع التي تسمح بالتحديثات التلقائية في الخلفية سيبدأ لديها التحديث تلقائيًا. ومع ذلك من الأفضل لمدير الموقع التأكد بعد فترة قصيرة من أن العملية اكتملت بنجاح وأن رقم الإصدار الظاهر في لوحة التحكم أصبح الإصدار الجديد.
ماذا تفعل قبل وبعد التحديث؟
بالنسبة إلى مواقع الإنتاج المهمة، وجود نسخة احتياطية حديثة قبل أي تحديث يظل إجراءً عمليًا، خصوصًا للمواقع الكبيرة أو التي تستخدم قوالب وإضافات مخصصة. وبعد اكتمال التحديث، راجع الواجهة الأمامية ولوحة الإدارة والوظائف المهمة مثل تسجيل الدخول والنماذج وعمليات الشراء إن وجدت.
لكن لا ينبغي استخدام الاختبارات ذريعة لتأجيل تحديث أمني حرج لفترة طويلة. الأفضل تنفيذ نسخة احتياطية واختبار سريع ثم تثبيت التحديث الأمني الجديد، خاصة إذا كان الموقع متاحًا للعامة.
الإصلاح سيصل أيضًا إلى الفروع القديمة
أوضح فريق ووردبريس أن إصلاح الأمان يتم نقله، كخدمة للمستخدمين، إلى جميع الفروع القديمة المؤهلة حاليًا لاستقبال تحديثات أمان، وصولًا إلى فرع 4.7. عملية إصدار هذه النسخ القديمة ما زالت تجري وستصل كل حزمة عندما تصبح جاهزة.
لكن المشروع يكرر تنبيهًا مهمًا: الإصدار الأحدث فقط هو المدعوم بنشاط بصورة كاملة. لذلك فإن وجود Backport أمني لفرع قديم لا يعني أن البقاء عليه يوفر مستوى الدعم نفسه الذي يحصل عليه أحدث فرع.
هل يتعلق التحديث بإضافة أو قالب معين؟
الإعلان الرسمي يصف المشكلة باعتبارها ثغرة في ووردبريس نفسه، وليست إعلانًا عن إضافة خارجية بعينها. في الوقت نفسه، قابلية الوصول إلى تنفيذ الكود تعتمد جزئيًا على شروط في القالب النشط وبيئة الخادم، ولذلك قد تختلف قابلية الاستغلال من موقع إلى آخر.
لهذا لا يكفي القول إن القالب المستخدم معروف أو موثوق ثم تجاهل التحديث. الإصلاح موجود في النواة، والطريقة المباشرة التي أوصى بها الفريق لإغلاق المسار هي الانتقال إلى WordPress 7.1.2.
الإصدار 7.1 ما زال في دورة تحديث سريعة
ووردبريس 7.1 صدر في أغسطس تحت اسم “Mary Lou”، ثم تبعه 7.1.1 في سبتمبر، والآن يصل تحديث أمني جديد. هذا طبيعي في الأسابيع التالية لإصدار رئيسي كبير، إذ تظهر إصلاحات صيانة وأمان بناءً على الاستخدام الأوسع والمراجعات الأمنية المستمرة.
وبحسب خطة المشروع، الإصدار الرئيسي التالي هو WordPress 7.2 والمقرر حاليًا في ديسمبر 2026. وحتى ذلك الحين سيظل فرع 7.1 يتلقى تحديثات الصيانة والأمان عند الحاجة.
ماذا ينبغي على أصحاب المواقع فعله الآن؟
- التحقق من رقم إصدار ووردبريس الحالي.
- إنشاء نسخة احتياطية حديثة للمواقع المهمة.
- تثبيت WordPress 7.1.2 فورًا إذا كان متاحًا للموقع.
- التأكد من نجاح التحديث التلقائي بدل افتراض أنه تم.
- فحص الصفحات والوظائف الرئيسية بعد التحديث.
- تحديث القوالب والإضافات أيضًا إلى إصداراتها المستقرة الحديثة.
حدث الان أو فعل التحديث التلقائي
WordPress 7.1.2 ليس إصدار مزايا جديدة، بل تحديث أمني عاجل يعالج ثغرة حرجة في آلية حل قوالب الصفحات. يستطيع مهاجم غير مسجل، في ظروف محددة، التسبب في تضمين ملف PHP محلي خارج مجلدات القالب، وقد يقود ذلك إلى تنفيذ كود عن بُعد إذا تحققت شروط إضافية مرتبطة بالخادم والقالب.
لهذا السبب يوصي فريق ووردبريس بالتحديث الفوري، مع نقل الإصلاح أيضًا إلى الفروع القديمة المؤهلة للحصول على تحديثات أمنية. ويمكن مراجعة إعلان WordPress 7.1.2 الرسمي للحصول على التفاصيل الأصلية وروابط التنزيل والمرجع الأمني.
لا يسمح بنقل هذا المحتوى من سوالف دون الاشارة برابط مباشر
