ثغرات wp2shell في WordPress Core: استغلال علني وتحديث فوري إلزامي

مقدمة تحليلية

في 18 يوليو 2026، صدرت استغلالات علنية (PoC exploits) لثغرات "wp2shell" الحرجة التي تستهدف نواة WordPress. هذه الثغرات، التي اكتشفها آدم كيوس من شركة Searchlight Cyber، تتيح تنفيذ تعليمات برمجية عن بعد (RCE) قبل المصادقة، وتؤثر على إصدارات WordPress Core 6.9.x و 7.0.x. تتسبب هذه العيوب في تعرض أكثر من 500 مليون موقع إلكتروني يعتمد على WordPress لخطر مباشر، مما دفع فريق أمن WordPress إلى تفعيل التحديثات الأمنية التلقائية القسرية للإصدارات المتأثرة.

تتكون سلسلة الهجوم من عيبين مستقلين، يمكن ربطهما معًا لتحقيق RCE غير مصادق عليه ضد عمليات تثبيت WordPress الافتراضية. صرحت Searchlight Cyber أن الهجوم لا يتطلب أي شروط مسبقة ويمكن استغلاله بواسطة مستخدم مجهول على تثبيت WordPress قياسي دون أي إضافات (plugins).

التحليل التقني

تتألف هجمة wp2shell من عيبين أساسيين يتم ربطهما لتنفيذ تعليمات برمجية عن بعد بشكل مسبق للتصديق. حددت Searchlight Cyber هذه العيوب ووصفتها على النحو التالي:

• CVE-2026-63030: ثغرة في خلط توجيه (batch-route confusion) واجهة برمجة تطبيقات REST API. تم تقديم هذا العيب في WordPress 6.9. ووفقاً لمستشار GitHub، يمكن دمج هذه الثغرة مع مشكلة حقن SQL لتحقيق تنفيذ التعليمات البرمجية عن بعد.
• CVE-2026-60137: ثغرة حقن SQL في المعامل 'author__not_in' ضمن 'WP_Query'. وصف WordPress هذه الثغرة بأنها عالية الخطورة وتؤثر على WordPress 6.8 والإصدارات الأحدث.

سلسلة RCE الكاملة، التي تجمع بين هاتين الثغرتين، تؤثر على الإصدارات التالية:

• WordPress 6.9.0 وحتى 6.9.4
• WordPress 7.0.0 وحتى 7.0.1

ثغرة حقن SQL (CVE-2026-60137) تؤثر أيضاً على WordPress 6.8.0 وحتى 6.8.5، لكنها لا يمكن أن تُدمج لتنفيذ تعليمات برمجية عن بُعد لأن خطأ خلط توجيه REST API (CVE-2026-63030) لم يُضف إلا في WordPress 6.9. تم إصلاح سلسلة هجوم wp2shell بالكامل في WordPress 6.9.5 و 7.0.2.

أكدت Searchlight Cyber أن المهاجم غير المصادق عليه يمكنه استغلال الثغرات ضد تثبيت WordPress افتراضي. وقد أصدرت استغلالات علنية متعددة (PoC) على GitHub. بعض هذه الاستغلالات تجمع بين الثغرتين لاستخراج تجزئات كلمات مرور WordPress عبر حقن SQL، ثم فك تشفير كلمة مرور المسؤول لتسجيل الدخول، وتحميل إضافة ضارة، وتنفيذ الأوامر. تدعي استغلالات أخرى أنها تحقق تنفيذ تعليمات برمجية عن بُعد قبل المصادقة دون الحاجة إلى بيانات اعتماد المسؤول، وهو ما يتماشى مع وصف Searchlight Cyber للعيوب.

كإجراء وقائي مؤقت، توصي Searchlight Cyber للمؤسسات غير القادرة على التحديث الفوري بما يلي:

• تثبيت إضافة (plugin) تحظر الوصول المجهول إلى REST API بالكامل.
• حظر '/wp-json/batch/v1' و '?rest_route=/batch/v1' على مستوى جدار حماية تطبيقات الويب (WAF).

تحذر الشركة من أن هذه الإجراءات التخفيفية يجب أن تُستخدم كحل مؤقت فقط حتى يتم تحديث الأنظمة.

السياق وتأثير السوق

تعد ثغرات wp2shell حدثًا أمنيًا بالغ الأهمية نظرًا لتأثيرها المحتمل على قاعدة مستخدمي WordPress الواسعة. تشير تقديرات Searchlight Cyber إلى أن أكثر من 500 مليون موقع ويب تستخدم WordPress، مما يضع عددًا كبيرًا من المنصات الرقمية تحت تهديد مباشر. هذا الانتشار يجعل من أي ثغرة في النواة مصدر قلق جدي، ولكن ندرة ثغرات RCE غير المصادق عليها في WordPress Core ترفع من مستوى الخطورة هنا.

وفي هذا السياق، أشار بنجامين هاريس، الرئيس التنفيذي لشركة watchTowr، إلى أن "WordPress يحصل على سمعة سيئة فيما يتعلق بالأمن. لكن الحقيقة هي أن ثغرة حقن SQL أو تنفيذ تعليمات برمجية عن بُعد غير مصادق عليها وذات تأثير كبير في نواة WordPress نادرة بالفعل. هذا بالضبط ما يجعل هذه الثغرة مختلفة، ولماذا يسارع الجميع للتصحيح قبل انتشار الاستغلال على نطاق واسع." وقد أفادت watchTowr بالفعل برصد استغلالات "في الواقع" بعد صدور استغلالات PoC العلنية.

شهدت السوق ردود فعل سريعة من مزودي الأمن. أعلنت Cloudflare أنها نشرت حماية جدار حماية تطبيقات الويب (WAF) لكلتا الثغرتين عبر جميع خططها، بما في ذلك الحسابات المجانية، للمواقع التي تعمل خلف منصتها. وفقًا لـ Cloudflare، تحظر هذه القواعد محاولات استغلال ثغرة حقن SQL (CVE-2026-60137) وثغرة خلط توجيه REST API (CVE-2026-63030). ومع ذلك، أكدت Cloudflare أن "حماية WAF تقلل من التعرض أثناء تحديث العملاء، ولكنها ليست بديلاً عن التصحيح".

إن إطلاق الاستغلالات العلنية، بالإضافة إلى تقارير الاستغلال الفعلي، يؤكد أن هذه الثغرات تجاوزت مرحلة التهديد النظري لتصبح خطرًا عمليًا يتطلب استجابة فورية. هذا يضع عبئًا كبيرًا على مديري المواقع لضمان التحديثات في أسرع وقت ممكن، خاصة وأن التهديد يستهدف جوهر النظام دون الحاجة إلى إضافات أو تصديق.

رؤية Glitch4Techs

إن ثغرات "wp2shell" تمثل إخفاقًا بنيويًا وليس مجرد عيب عرضي. إن قدرة مهاجم غير مصادق عليه على تحقيق RCE في WordPress Core، وهو ما يشغل نصف مواقع الويب العالمية، يعكس تسامحًا خطيرًا مع نقاط الضعف المعقدة. إن حقيقة أن WordPress اضطرت إلى تفعيل التحديثات الأمنية التلقائية القسرية دليل صارخ على عدم الثقة في قدرة مديري المواقع على التصرف بالسرعة المطلوبة. هذا لا يبرئ المسؤولية عن نظام يعتبر "الندرة" تبريراً لمثل هذه الثغرات الجوهرية. إن الاعتماد على إجراءات التخفيف المؤقتة من طرف ثالث، مثل WAFs، أو مطالبة المستخدمين بتثبيت إضافات لحظر الوصول إلى REST API، يؤكد أن الأساس المعماري يفتقر إلى المرونة الكافية في مواجهة التهديدات الحرجة. إن التحديثات ليست خيارًا، بل ضرورة يفرضها فشل النظام في تأمين نفسه بشكل كافٍ من نقطة ضعف أساسية، مما يترك مئات الملايين من المواقع عرضة للخطر خلال الفترة الفاصلة بين الكشف عن الثغرة ونشر التصحيحات القسرية.