عرض مصدر ثغرات امنية في ورد برس WordPress CVE-2026-63030 وCVE-2026-60137

{{تحذير|إذا كان موقعك يستخدم إصدارًا متأثرًا من WordPress، فيجب تحديثه فورًا. قد يستطيع المهاجم استغلال المشكلة من الإنترنت دون الحاجة إلى اسم مستخدم أو كلمة مرور ويتسبب في اختراق موقعكم}}

{{تنبيه|إذا كان لديكم موقع WordPress مستضاف ضمن باقات الاستضافة المشتركة لدى مسار كلاود ويعمل بإصدار متأثر، فيجب تحديثه خلال المهلة المحددة. بعد انتهاء المهلة قد نضطر إلى تنفيذ التحديث بصورة إلزامية لحماية الخادم وبقية المواقع المستضافة. وفي حال تطلّب الموقع تدخلًا فنيًا من فريقنا، سيتم احتساب رسوم صيانة بقيمة 150 ريالًا سعوديًا لكل موقع.}}

== ما المشكلة باختصار؟ ==

'''تاريخ نشر التنبيه:''' 21 يوليو/تموز 2026

اكتُشفت مشكلتان أمنيتان في WordPress تحملان الرقمين '''CVE-2026-60137''' و'''CVE-2026-63030'''. تؤثران في WordPress نفسه، وليستا مرتبطتين بإضافة أو قالب محدد.

المشكلة الأولى قد تسمح للمهاجم بالوصول إلى معلومات من قاعدة بيانات الموقع في ظروف معينة. أما المشكلة الثانية، فعند استخدامها مع المشكلة الأولى على بعض إصدارات WordPress، قد تسمح للمهاجم بتشغيل أوامر ضارة على الموقع والسيطرة عليه.

الأخطر أن سلسلة الهجوم الكاملة '''لا تحتاج إلى تسجيل دخول'''. أي إن المهاجم لا يحتاج إلى معرفة اسم المستخدم أو كلمة المرور، ويكفي أن يكون الموقع المتأثر متاحًا عبر الإنترنت.

قد يؤدي نجاح الهجوم إلى:

* الاطلاع على بيانات حساسة من الموقع.
* تعديل محتوى الموقع أو إعداداته.
* إنشاء حساب إداري غير مصرح به.
* زرع ملفات ضارة أو باب خلفي.
* تعطيل الموقع أو استخدامه في هجمات أخرى.

أصدر WordPress تحديثات تعالج المشكلة في 17 يوليو/تموز 2026، وأوصى بتثبيتها فورًا. كما تأكد وجود استغلال فعلي للثغرتين؛ لذلك لا يُنصح بتأجيل التحديث حتى لو كان الموقع يعمل بصورة طبيعية ولم تظهر عليه علامات اختراق واضحة.

'''ننصح في مسار كلاود جميع العملاء الذين يستخدمون WordPress بضرورة فحص مواقعهم والتأكد من تحديث WordPress إلى أحد الإصدارات الرسمية الموصى بها.'''

== ماذا يجب على العميل أن يفعل؟ ==

# التأكد من إصدار WordPress المستخدم في الموقع.
# تحديث WordPress فورًا إذا كان الإصدار متأثرًا.
# التأكد من نجاح التحديث وعدم الاعتماد على افتراض أن التحديث التلقائي تم بنجاح.
# طلب فحص أمني للموقع إذا كان يعمل على إصدار متأثر، لأن التحديث يمنع الهجمات الجديدة لكنه لا يزيل بالضرورة آثار اختراق حدث قبل التحديث.

الحد الأدنى للإصدارات الآمنة هو '''6.8.6''' لفرع 6.8، و'''6.9.5''' لفرع 6.9، و'''7.0.2''' لفرع 7.0. ويُفضّل دائمًا الترقية إلى أحدث إصدار مستقر ومتوافق مع الموقع.

== نظرة فنية عامة ==

أعلن مشروع WordPress في 17 يوليو/تموز 2026 عن إصدار أمني يعالج ثغرتين في نواة WordPress:

* '''CVE-2026-60137''': ثغرة حقن SQL مرتبطة بعدم تنقية المعامل <code>author__not_in</code> في <code>WP_Query</code> على نحو صحيح. يظهر مسار الاستغلال عندما تمرّر إضافة أو قالب مدخلات غير موثوقة إلى هذا المعامل.
* '''CVE-2026-63030''': خلل التباس في توجيه الطلبات المجمعة ضمن WordPress REST API. عند جمعه مع CVE-2026-60137 في WordPress 6.9 والإصدارات اللاحقة المتأثرة، يمكن أن يقود إلى حقن SQL ثم تنفيذ تعليمات برمجية عن بُعد (RCE).

صنّف WordPress الإصدار الأمني على أنه يعالج مشكلة '''حرجة''' وأخرى '''عالية الخطورة'''، وفعّل التحديثات التلقائية الإجبارية للإصدارات المتأثرة بسبب شدة الخطر. كما أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرتين إلى [[wikipedia:Known Exploited Vulnerabilities Catalog|قائمة الثغرات المعروفة بأنها مستغلة فعليًا]] في 21 يوليو/تموز 2026.

== ما هي CVE-2026-60137؟ ==

توجد الثغرة في معالجة المعامل <code>author__not_in</code> ضمن الصنف <code>WP_Query</code>. لا يقوم WordPress في الإصدارات المتأثرة بتنقية هذا المعامل تنقية كافية قبل دخوله في استعلام قاعدة البيانات. إذا مرّرت إضافة أو قالب قيمة يتحكم بها مستخدم أو زائر إلى هذا المعامل، فقد يتمكن المهاجم من تغيير منطق استعلام SQL وقراءة بيانات حساسة من قاعدة البيانات.

تصف الاستشارة الرسمية هذه المشكلة بأنها '''Facilitated SQL Injection'''، أي إن وجود الخلل في النواة لا يعني بالضرورة أن كل موقع يتيح نقطة استغلال مستقلة بالطريقة نفسها؛ إذ يعتمد المسار المباشر على وجود إضافة أو قالب أو مسار برمجي يمرّر مدخلات غير موثوقة إلى المعامل الضعيف. لكن وجود CVE-2026-63030 في الإصدارات 6.9 وما بعدها المتأثرة يوفر سلسلة هجوم أشد خطورة.

=== هل تتطلب تسجيل دخول؟ ===

* '''عند استغلال CVE-2026-60137 منفردة:''' يعتمد ذلك على الإضافة أو القالب والمسار الذي يعرّض المعامل؛ فقد يكون المسار متاحًا لزائر غير مسجل أو قد يكون محميًا بصلاحيات. لذلك لا يصح وصف كل حالة منفردة بأنها قابلة للاستغلال دون تسجيل دخول بصورة مطلقة.
* '''عند جمعها مع CVE-2026-63030 في الإصدارات المتأثرة:''' يمكن تنفيذ السلسلة عبر الشبكة '''دون تسجيل دخول ودون تفاعل من المستخدم'''.

=== الأثر الأمني ===

يمكن أن تسمح الثغرة، بحسب المسار المتاح، باستخراج معلومات من قاعدة البيانات. وعند جمعها مع ثغرة التباس المسارات، يرتفع الأثر إلى تنفيذ تعليمات برمجية عن بُعد والسيطرة على الموقع أو الخادم ضمن صلاحيات عملية PHP/خادم الويب.

== ما هي CVE-2026-63030؟ ==

هي ثغرة التباس في تفسير أو توجيه الطلبات المجمعة في WordPress REST API. تسمح المشكلة بأن يختلف تفسير الطلب أو المسار أثناء مراحل معالجته. يستطيع المهاجم استغلال هذا الاختلاف للوصول إلى مسار حقن SQL المرتبط بـCVE-2026-60137، ثم استخدام النتائج ضمن سلسلة تؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

لا يقدّم هذا المقال حمولة استغلال أو خطوات هجومية عملية. وعلى مستوى فهم الخطر، تمر السلسلة بصورة مبسطة بالمراحل الآتية:

# إرسال طلب مُعدّ خصيصًا إلى واجهة REST API المجمعة.
# استغلال اختلاف تفسير المسار بين مراحل المعالجة.
# الوصول إلى المعامل الضعيف في <code>WP_Query</code> وتنفيذ حقن SQL.
# توظيف نتيجة الحقن ضمن السلسلة للوصول إلى تنفيذ تعليمات برمجية عن بُعد.

=== هل تتطلب تسجيل دخول؟ ===

'''لا.''' تصف بيانات CVSS المنشورة من الجهة المصدرة CVE-2026-63030 بأنها قابلة للاستغلال عبر الشبكة، من دون امتيازات مسبقة أو تفاعل من المستخدم. أي إن المهاجم لا يحتاج إلى حساب WordPress صالح لاستغلال السلسلة على موقع مستوفٍ لشروط التأثر.

=== مستوى الخطورة ===

حصلت CVE-2026-63030 على درجة '''9.8 من 10 (حرجة)''' وفق تقييم CVSS 3.1 المنشور من سلطة الترقيم WPScan. وقد تشمل النتيجة النهائية قراءة البيانات أو تعديلها، زرع ملفات أو أبواب خلفية، إنشاء حسابات إدارية، وتعطيل الموقع، وفق صلاحيات عملية خادم الويب والبيئة المضيفة.

== العلاقة بين الثغرتين ==

<pre>
CVE-2026-63030
التباس توجيه طلبات REST API المجمعة
             +
CVE-2026-60137
حقن SQL في author__not_in ضمن WP_Query
             ↓
حقن SQL ثم تنفيذ تعليمات برمجية عن بُعد دون تسجيل دخول
</pre>

تتأثر سلسلة التنفيذ عن بُعد بإصدارات WordPress 6.9 و7.0 المبينة أدناه. أما فرع 6.8 فيتأثر بثغرة حقن SQL فقط، وليس بثغرة التباس المسارات المؤدية إلى RCE. ووفق إعلان WordPress الرسمي، الإصدارات الأقدم من 6.8 غير متأثرة بهاتين الثغرتين تحديدًا؛ وهذا لا يعني أنها آمنة من ثغرات أخرى أو أنها مدعومة أمنيًا.

== تاريخ الاكتشاف والإفصاح ==

{| class="wikitable"
! الحدث
! التاريخ والتفاصيل
|-
| الاكتشاف والإبلاغ المسؤول عن CVE-2026-60137
| اكتشفها وأبلغ عنها بصورة مسؤولة فريق يضم الباحثين TF1T وdtro وhaongo. لا تحدد الاستشارة العامة تاريخ الاكتشاف أو الإبلاغ الداخلي باليوم.
|-
| الاكتشاف والإبلاغ المسؤول عن CVE-2026-63030
| اكتشفها وأبلغ عنها بصورة مسؤولة Adam Kues من Assetnote / Searchlight Cyber. لا تحدد الاستشارة العامة تاريخ الاكتشاف أو الإبلاغ الداخلي باليوم.
|-
| الإفصاح العام وإصدار التصحيحات
| 17 يوليو/تموز 2026؛ نُشرت استشارتا GitHub الأمنيتان وإعلان WordPress 7.0.2 والتصحيحات للفروع المتأثرة.
|-
| الإدراج ضمن قائمة CISA للثغرات المستغلة فعليًا
| 21 يوليو/تموز 2026؛ أدرجت CISA الثغرتين في قائمة Known Exploited Vulnerabilities، وهو دليل رسمي على رصد استغلال فعلي.
|}

== الإصدارات المتأثرة والإصدارات المصححة ==

{| class="wikitable"
! فرع WordPress
! الإصدارات المتأثرة
! CVE-2026-60137 (SQL Injection)
! CVE-2026-63030 (سلسلة RCE)
! الحد الأدنى للإصدار المصحح
|-
| 6.8
| 6.8.0 إلى 6.8.5
| نعم
| لا
| '''6.8.6'''
|-
| 6.9
| 6.9.0 إلى 6.9.4
| نعم
| نعم
| '''6.9.5'''
|-
| 7.0
| 7.0.0 و7.0.1
| نعم
| نعم
| '''7.0.2'''
|-
| 7.1 Beta
| Beta 1
| نعم
| نعم
| '''7.1 Beta 2''' (للاختبار فقط، وليس لمواقع الإنتاج)
|-
| أقدم من 6.8
| —
| غير متأثر بهاتين الثغرتين وفق إعلان WordPress
| غير متأثر
| يُنصح مع ذلك بالترقية إلى إصدار مستقر ومدعوم وحديث
|}

== ما الإصدار الذي يجب الترقية إليه؟ ==

يجب التحديث فورًا إلى '''أحدث إصدار مستقر متاح من WordPress''' ومتوافق مع الموقع، بدل الاكتفاء بالحد الأدنى متى كان ذلك ممكنًا. وإذا كان لا بد من البقاء مؤقتًا على الفرع الحالي، فالحدود الدنيا المصححة هي:

* مواقع WordPress 6.8.x: الترقية إلى '''6.8.6 أو أحدث'''.
* مواقع WordPress 6.9.x: الترقية إلى '''6.9.5 أو أحدث'''.
* مواقع WordPress 7.0.x: الترقية إلى '''7.0.2 أو أحدث'''.
* بيئات اختبار WordPress 7.1 Beta 1: الترقية إلى '''7.1 Beta 2 أو أحدث'''. لا ينبغي تشغيل الإصدارات التجريبية في بيئات الإنتاج.

يجب التأكد يدويًا من نجاح التحديث حتى إذا كانت التحديثات التلقائية مفعّلة؛ فقد تفشل التحديثات بسبب صلاحيات الملفات أو مساحة التخزين أو إعدادات الاستضافة.

== إجراءات الاستجابة الموصى بها ==

# أخذ نسخة احتياطية مناسبة وفق سياسة المؤسسة، ثم تحديث نواة WordPress فورًا.
# تحديث الإضافات والقوالب وحذف المكونات غير المستخدمة أو غير الموثوقة.
# التحقق من إصدار WordPress بعد التحديث ومن سلامة ملفات النواة.
# عدم اعتبار التحديث دليلًا على أن الموقع لم يُخترق سابقًا؛ فالتحديث يغلق الثغرة لكنه لا يزيل بالضرورة آثار اختراق وقع قبل التحديث.
# مراجعة حسابات المديرين، والملفات المعدلة أو المنشأة حديثًا، وملفات PHP غير المتوقعة في مجلد الرفع، والإضافات الإجبارية <code>mu-plugins</code>، والمهام المجدولة، وسجلات خادم الويب وطلبات REST API المشبوهة.
# تدوير كلمات المرور ومفاتيح WordPress السرية وبيانات الاعتماد الأخرى إذا ظهرت مؤشرات اختراق، وعزل الموقع وإجراء تحقيق جنائي رقمي وفق إجراءات الاستجابة للحوادث.
# يمكن استخدام جدار حماية تطبيقات الويب كإجراء تقليل مخاطر مؤقت، لكنه ليس بديلًا عن تثبيت التصحيح.

== ملاحظات مهمة ==

* هاتان الثغرتان موجودتان في '''نواة WordPress''' وليستا ثغرتين في إضافة بعينها.
* مع ذلك، يتوقف مسار استغلال CVE-2026-60137 منفردة على كيفية تمرير الإضافة أو القالب للمدخلات إلى <code>WP_Query</code>.
* إدراج الثغرتين في قائمة CISA للثغرات المستغلة فعليًا يرفع أولوية المعالجة؛ لا ينبغي تأجيل التحديث إلى نافذة صيانة بعيدة.
* لا تعني عبارة "غير متأثر بهاتين الثغرتين" أن الإصدار القديم آمن؛ قد يحتوي على مشكلات أخرى وقد يكون خارج نطاق الدعم الأمني.

== ماذا يحدث إذا لم يتم تحديث الموقع؟ ==

{{تنبيه|إذا كان لديكم موقع WordPress مستضاف ضمن باقات الاستضافة المشتركة لدى مسار كلاود ويعمل بإصدار متأثر، فيجب تحديثه خلال المهلة المحددة. بعد انتهاء المهلة قد نضطر إلى تنفيذ التحديث بصورة إلزامية لحماية الخادم وبقية المواقع المستضافة. وفي حال تطلّب الموقع تدخلًا فنيًا من فريقنا، سيتم احتساب رسوم صيانة بقيمة 150 ريالًا سعوديًا لكل موقع.}}


علمًا بأن مواقع العملاء المشتركين في خدمات إدارة المحتوى ستُفحص وتُحدّث مجانًا.

== المراجع ==

* [https://wordpress.org/news/2026/07/wordpress-7-0-2-release/ إعلان WordPress الرسمي لإصدار 7.0.2 الأمني]، 17 يوليو/تموز 2026.
* [https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf استشارة WordPress/GitHub الخاصة بـCVE-2026-60137].
* [https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q استشارة WordPress/GitHub الخاصة بـCVE-2026-63030].
* [https://nvd.nist.gov/vuln/detail/CVE-2026-60137 سجل CVE-2026-60137 في قاعدة NVD].
* [https://nvd.nist.gov/vuln/detail/CVE-2026-63030 سجل CVE-2026-63030 في قاعدة NVD].
* [https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-60137 إدراج CVE-2026-60137 في قائمة CISA KEV].
* [https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-63030 إدراج CVE-2026-63030 في قائمة CISA KEV].



[[تصنيف:WordPress]]
[[تصنيف:أمن المعلومات]]
[[تصنيف:ثغرات أمنية]]
[[تصنيف:CVE]]