أصدرت إضافة GiveWP الشهيرة لجمع التبرعات على مواقع ووردبريس تحديثًا أمنيًا عاجلًا بعد الكشف عن ثغرة بالغة الخطورة قد تسمح للمهاجم بتنفيذ أوامر على خادم الموقع والوصول إلى مستوى واسع من السيطرة عليه.
الثغرة مسجلة بالرمز CVE-2026-82222، وحصلت على تقييم خطورة 10 من 10 وفق Patchstack. وتؤثر على إصدارات GiveWP حتى 4.16.7.1، بينما تم إصدار النسخة 4.16.7.2 لمعالجة المشكلة.
الإجابة السريعة
إذا كنت تستخدم GiveWP على موقع ووردبريس، فتأكد فورًا من تشغيل الإصدار 4.16.7.2 أو أحدث. الثغرة المكتشفة قد تسمح في ظروف معينة بتنفيذ أوامر على الخادم، وهو مستوى خطورة قد يؤدي إلى السيطرة الكاملة على الموقع. التحديث الأمني صدر في 27 أغسطس 2026.
ما هي إضافة GiveWP؟
GiveWP واحدة من أشهر إضافات جمع التبرعات وإدارة حملات التمويل على ووردبريس، وتستخدمها المؤسسات غير الربحية والمشروعات الخيرية لإنشاء نماذج تبرع وإدارة المتبرعين والمدفوعات.
ووفق صفحة الإضافة الرسمية على WordPress.org، فإنها تعمل حاليًا على أكثر من 100 ألف موقع، ولذلك فإن ظهور ثغرة بهذا المستوى من الخطورة يجعل سرعة التحديث مهمة للغاية.
ثغرة GiveWP حصلت على تقييم 10 من 10
صنفت Patchstack المشكلة باعتبارها ثغرة Remote Code Execution أو RCE، وهي من أخطر أنواع الثغرات التي يمكن أن تصيب تطبيق ويب.
نجاح الاستغلال قد يسمح للمهاجم بتنفيذ أوامر على الخادم الذي يستضيف موقع ووردبريس، وهو ما قد يؤدي نظريًا إلى تثبيت ملفات خبيثة أو إنشاء أبواب خلفية أو الوصول إلى بيانات الموقع حسب إعدادات الخادم والصلاحيات المتاحة.
ولهذا حصلت ثغرة GiveWP على درجة CVSS كاملة تبلغ 10.0.
كيف تعمل الثغرة بصورة عامة؟
المشكلة ليست خطأ واحدًا بسيطًا، بل سلسلة من نقاط الضعف التي يمكن ربطها ببعضها للوصول في النهاية إلى تنفيذ أوامر على الخادم.
وفق تحليل Patchstack، ترتبط السلسلة بطريقة تعامل الإضافة مع بيانات PHP المتسلسلة أثناء معالجة التبرعات، إلى جانب إمكانية تمرير بيانات يمكن التحكم فيها إلى أجزاء من النظام تقوم لاحقًا بفك هذه البيانات.
وتوجد كذلك مشكلة في آلية إنشاء الحسابات داخل GiveWP يمكن أن تسمح في بعض السيناريوهات بإنشاء حساب حتى إذا كان تسجيل المستخدمين العام معطلًا في إعدادات ووردبريس.
هذه العناصر مجتمعة هي التي رفعت مستوى الخطورة، وليس مجرد وجود حقل يمكن إرسال بيانات غير صحيحة إليه.
هل يحتاج المهاجم إلى حساب؟
السلسلة الكاملة تحتاج في أحد مراحلها إلى سياق مستخدم مسجل، لكن الباحثين وجدوا أن آلية التسجيل الموجودة داخل الإضافة قد تسمح بإنشاء هذا الحساب في بعض الحالات دون الاعتماد على إعداد التسجيل العام في ووردبريس.
لهذا يتم التعامل مع الثغرة عمليًا باعتبارها قابلة للوصول من مهاجم غير مسجل مسبقًا، وليس مشكلة محصورة في مستخدم يملك حسابًا شرعيًا بالفعل.
هل كل مواقع GiveWP معرضة بالطريقة نفسها؟
لا بالضرورة.
Patchstack تصنف الإصدارات حتى 4.16.7.1 باعتبارها متأثرة، لكن قابلية الوصول إلى سلسلة الاستغلال الكاملة قد تختلف حسب إصدار GiveWP وطريقة إنشاء نماذج التبرعات الموجودة في الموقع.
وأشار الباحثون إلى أن بعض الإصدارات الحديثة تحتاج إلى وجود نموذج تبرع قديم أو إعدادات معينة حتى تصبح السلسلة قابلة للاستغلال بالكامل.
لكن هذه التفاصيل لا تجعل الانتظار مقبولًا؛ إذا كنت تستخدم إصدارًا متأثرًا، فالتصرف الصحيح هو التحديث وليس محاولة تحديد ما إذا كان نموذج بعينه يحميك مؤقتًا.
الإصدار 4.16.7.2 يعالج المشكلة
أصدر مطورو GiveWP النسخة 4.16.7.2 يوم 27 أغسطس 2026.
ويذكر سجل التغييرات الرسمي على WordPress.org أن الإصدار يضيف تقوية أمنية إضافية لطريقة التعامل مع serialized data أثناء عملية التبرع.
وتوضح Patchstack أن الإصلاح يتضمن منع البيانات المتسلسلة غير الآمنة في مسار معالجة التبرعات، وتشديد طريقة إنشاء الكائنات عند فك البيانات، إلى جانب التعامل مع بعض البيانات الخطرة التي قد تكون مخزنة مسبقًا.
| البند | التفاصيل |
|---|---|
| الثغرة | CVE-2026-82222 |
| درجة الخطورة | CVSS 10.0 |
| الإصدارات المتأثرة | حتى 4.16.7.1 |
| الإصدار المصحح | 4.16.7.2 |
| تاريخ الإصلاح | 27 أغسطس 2026 |
| التثبيتات النشطة | أكثر من 100 ألف موقع |
ماذا يجب أن يفعل أصحاب المواقع الآن؟
إذا كانت إضافة GiveWP مثبتة على موقعك، افتح لوحة تحكم ووردبريس وانتقل إلى الإضافات وتحقق من رقم الإصدار.
إذا كان الإصدار 4.16.7.1 أو أقدم، فقم بالتحديث إلى 4.16.7.2 أو أي إصدار أحدث متاح رسميًا.
ويفضل كذلك أخذ نسخة احتياطية قبل التحديث، ثم مراجعة الموقع وسجلات الخادم وحسابات المستخدمين بعد الترقية، خصوصًا إذا كان الموقع عامًا ويستقبل تبرعات بصورة مستمرة.
لا توجد حاجة لحذف GiveWP إذا كانت محدثة
وجود ثغرة أمنية لا يعني أن الحل الصحيح هو حذف الإضافة بالكامل، خصوصًا بعدما صدر تحديث رسمي يعالج المشكلة.
المهم هو عدم تشغيل إصدار قديم من GiveWP. كثير من الهجمات على ووردبريس لا تستهدف أحدث إصدار من الإضافة، وإنما تبحث آليًا عن المواقع التي لم تطبق التحديث الأمني بعد.
هل توجد تقارير عن استغلال فعلي واسع النطاق؟
المصادر التي كشفت المشكلة تحذر من خطورتها واحتمال استخدامها في حملات استغلال واسعة، لكن الخبر الحالي لا يقدم دليلًا على حملة هجمات واسعة مؤكدة تستغل CVE-2026-82222 في اللحظة الحالية.
لذلك من المهم التفريق بين كون الثغرة شديدة الخطورة وبين القول إن كل موقع يستخدم الإضافة قد تعرض بالفعل للاختراق.
لماذا تصبح إضافات ووردبريس هدفًا جذابًا؟
الإضافات المنتشرة على عشرات أو مئات الآلاف من المواقع تمنح المهاجم هدفًا جذابًا؛ فبدل البحث عن خطأ خاص بموقع واحد، يمكن استهداف نفس الثغرة في عدد كبير من المواقع التي لم تحدث الإضافة.
ولهذا يجب أن يكون تحديث الإضافات جزءًا من إدارة الموقع وليس مهمة موسمية تتم كل عدة أشهر.
ويمكن أيضًا إضافة طبقة حماية أخرى للحسابات الإدارية من خلال التوثيق الثنائي، وقد شرحنا على سوالف خطوة بخطوة طريقة تفعيل التوثيق الثنائي في ووردبريس لحماية موقعك.
التحديث أهم من محاولة فهم تفاصيل الاستغلال
بالنسبة لصاحب الموقع، لا توجد فائدة عملية من انتظار إثبات أن إعدادات موقعه تجعل الاستغلال ممكنًا أو غير ممكن. وجود GiveWP بإصدار متأثر يكفي لاتخاذ قرار التحديث.
الإصدار المصحح متاح بالفعل من مستودع ووردبريس الرسمي، ولا يوجد سبب أمني للاستمرار على إصدار قديم.
ويمكن مراجعة التقرير التقني الأصلي من تحليل Patchstack الرسمي لثغرة GiveWP.
أما أصحاب المواقع الذين لا يعرفون رقم الإصدار الحالي لديهم، فيكفي فتح صفحة الإضافات في لوحة ووردبريس والبحث عن GiveWP. إذا ظهر تحديث متاح، فهذه المرة لا تؤجله.
لا يسمح بنقل هذا المحتوى من سوالف دون الاشارة برابط مباشر
