هشدار امنیتی وردپرس: آسیب‌پذیری wp2shell و کارهایی که صاحبان سایت باید انجام دهند
وردپرس در تیر ۱۴۰۵ برای یکی از جدی‌ترین آسیب‌پذیری‌های سال‌های اخیر خود به‌روزرسانی اضطراری منتشر کرد. این ضعف که با نام wp2shell شناخته می‌شود، به مهاجم اجازه می‌دهد بدون نام کاربری و رمز، روی سایت وردپرسی کد اجرا کند؛ یعنی کنترل کامل سایت. نکته نگران‌کننده این است که برای حمله به هیچ افزونه یا قالب آسیب‌پذیری نیاز نیست و نصب پیش‌فرض وردپرس هم در خطر است.
چه نسخه‌هایی آسیب‌پذیرند؟
- وردپرس ۶.۹.۰ تا ۶.۹.۴ و ۷.۰.۰ تا ۷.۰.۱: آسیب‌پذیر به حمله کامل.
- وردپرس ۶.۸: فقط بخشی از مشکل (تزریق SQL) را دارد و نسخه ۶.۸.۶ آن را برطرف می‌کند.
- نسخه‌های اصلاح‌شده: ۶.۸.۶، ۶.۹.۵، ۷.۰.۲ و هر نسخه جدیدتر.
این حمله از ترکیب دو ضعف در هسته وردپرس ساخته شده است: یکی در مسیر دسته‌ای REST API و دیگری تزریق SQL (شناسه‌های CVE-2026-63030 و CVE-2026-60137). وردپرس به دلیل شدت مشکل، به‌روزرسانی را حتی برای سایت‌هایی که به‌روزرسانی خودکار را خاموش کرده‌اند، به‌صورت اجباری فرستاد. چند روز بعد از انتشار وصله، کد نمونه حمله هم به‌صورت عمومی منتشر شد؛ پس سایتی که هنوز به‌روز نشده، هدف آسانی است.
صاحب سایت وردپرسی هستید؟ این سه کار را همین حالا انجام دهید
- نسخه وردپرس را با چشم خودتان ببینید. در پیشخوان وردپرس به «به‌روزرسانی‌ها» بروید یا پایین صفحه پیشخوان را نگاه کنید. به اینکه «به‌روزرسانی خودکار حتما انجام شده» اعتماد نکنید؛ اگر وردپرس دسترسی نوشتن روی فایل‌ها را نداشته باشد یا کرون سایت کار نکند، به‌روزرسانی بی‌صدا انجام نمی‌شود.
- اگر نسخه شما در فهرست بالاست، فورا به‌روزرسانی کنید و قبل از آن از سایت و پایگاه داده پشتیبان بگیرید. اگر به هر دلیل نمی‌توانید به‌روز کنید، از پشتیبانی هاست بخواهید دسترسی ناشناس به مسیر دسته‌ای REST API را موقتا ببندد؛ این فقط راه‌حل موقت است.
- نشانه‌های نفوذ را بررسی کنید. کاربر مدیر ناشناس، فایل PHP تازه در پوشه uploads، یا تغییر ناگهانی در فایل‌های قالب و افزونه‌ها نشانه خطرند. فهرست کامل کارهای امنیتی را در آموزش امنیت وردپرس کلادهامون ببینید.
هاست شما در این ماجرا چه نقشی دارد؟
به‌روزرسانی هسته وردپرس معمولا کار صاحب سایت است، اما هاست خوب این کار را آسان‌تر و امن‌تر می‌کند. هنگام مقایسه و خرید هاست وردپرس به این‌ها توجه کنید:
- به‌روزرسانی خودکار هسته وردپرس از طرف هاست یا ابزاری مثل Softaculous و WP Toolkit.
- فایروال برنامه وب (WAF) روی سرور که حمله‌های شناخته‌شده را قبل از رسیدن به وردپرس متوقف کند.
- بکاپ روزانه خودکار با امکان بازگرداندن ساده، تا اگر سایت آسیب دید، به نسخه سالم برگردید.
- اسکن بدافزار و پشتیبانی پاسخ‌گو در زمان حادثه.
کلادهامون خودش روی وردپرس ساخته شده و نسخه وردپرس آن پیش از این خبر به ۷.۱ به‌روز شده بود؛ بنابراین سایت کلادهامون و اطلاعات کاربران در برابر این آسیب‌پذیری در امان است.
اگر می‌خواهید سایت وردپرسی را به هاست بهتری منتقل کنید، راهنمای انتقال وردپرس بدون قطعی را بخوانید.
منابع: اطلاعیه امنیتی وردپرس (تیر ۱۴۰۵)، گزارش Wordfence و زومیت.
