يتم تتبّع الثغرة تحت الرمز CVE-2026-87902، وقد قيّمها فريق أمان WordPress بدرجة 9.2 من 10 وفق مقياس CVSS v4. ويعني ذلك مستوى خطورة حرجًا مع تعقيد هجوم منخفض ودون الحاجة إلى مصادقة المستخدم أو تفاعله.
في 22 سبتمبر أصدرت WordPress الإصدار 7.1.2، الذي يعالج ثغرة أمنية حرجة تتيح لمهاجم غير مصادَق عليه جعل البرنامج يحمّل ملف PHP يختاره المهاجم من موقع خارج مجلدات القالب النشط. وفي ظروف معينة من إعدادات الخادم والقالب، يمكن للمهاجم أيضًا تنفيذ التعليمات البرمجية على الخادم.
ما الذي تعطّل
تقع الثغرة في دالة ضمن نواة WordPress مسؤولة عن اختيار ملف القالب الصحيح عند عرض الصفحة. يكمن الخطأ في الدالة get_page_template() التي تستخدمها WordPress لاختيار ملف القالب الذي يعرض الصفحة. ويمكن للمهاجم تحويل هذا البحث إلى ملف .php قابل للقراءة في مكان آخر على الخادم.
إنه خطأ اجتياز المسار (path traversal): إذ يخرج الطلب من المجلد الذي كان يجب أن يبقى الكود ضمنه، ثم تقوم WordPress بتضمين هذا الملف، بينما ينفّذ PHP الكود الموجود فيه.
يوضح الباحث الأمني روبرت ريسل، الذي اكتشف الثغرة وأبلغ عنها بشكل خاص عبر برنامج HackerOne، أن الثغرة الأساسية هي تضمين ملف PHP محلي عبر طلب واجهة أمامية (frontend) من مستخدم غير مصادَق عليه.
في السلسلة التي أثبتها، استُخدمت مكوّنات PEAR المتاحة أصلًا في بيئة الخادم المختبَرة للانتقال من التضمين إلى تنفيذ تعليمات PHP عشوائية. وPEAR ليست من متطلبات WordPress، لذا فهذا المسار غير متاح في كل بيئة نشر. وهذا يعني أن تنفيذ الكود الفعلي (RCE) غير مضمون في كل موقع، لكن تضمين الملف نفسه ممكن عمليًا في أي مكان لم تُصلَح فيه الثغرة.
بحث أمني مستقل يؤكد آلية الهجوم بلغة أبسط:
يرسل المهاجم طلبًا مجهولًا بقيمتين عامتين هما pagename وpage_id. يشير page_id إلى صفحة منشورة فعلًا، ولذلك تعالجه WordPress بشكل طبيعي. أما قيمة pagename التي تحتوي على اجتياز مجلدات مشفّر مرتين، فتبقى في الطلب.
ما الإصدارات المتأثرة
يعتبر مشروع WordPress جميع الإصدارات من 4.7.0 إلى 7.1.1 متأثرة، أي عمليًا جميع تثبيتات WordPress المستخدمة اليوم تقريبًا والتي لم تُحدَّث في الوقت المناسب.
الإصلاح
يتوفر الإصلاح في الإصدار 7.1.2، وكذلك في 24 فرعًا أقدم، بدءًا من 7.0.6 وحتى 4.7.37. المواقع التي تقبل التحديثات التلقائية في الخلفية ستبدأ التحديث من تلقاء نفسها، أما المواقع الأخرى فعليها إجراء ذلك من قسم «التحديثات» في لوحة التحكم.
يشدد فريق أمان WordPress على أنه بما أن هذا إصدار أمني، يُنصح بتحديث المواقع فورًا.
الوضع عاجل بشكل خاص لأن الثغرة تُستغل بالفعل في الواقع. فقد أفادت شركة الأمان Patchstack بأنه رُصدت محاولات هجوم في اليوم نفسه الذي نُشر فيه الإصلاح، وسُجّل أول نشاط ملحوظ في 22 سبتمبر 2026 الساعة 17:44 بالتوقيت العالمي UTC. وهذا يعني أنه لم تمرّ سوى ساعات قليلة بين الكشف العلني وأولى محاولات الهجوم.
ماذا تفعل الآن
- حدّث WordPress إلى 7.1.2 (أو إلى الإصدار الأمني المناسب للفرع الأقدم) فورًا، فهذا أهم إجراء.
- إذا تعذّر التحديث الفوري، فكّر في إجراءات تخفيف على مستوى الخادم كما يوصي الباحثون الأمنيون، مثل قواعد من نوع WAF/RapidMitigate.
- افحص سجلات الخادم وWordPress بحثًا عن طلبات غير معتادة تحتوي على المعامل pagename مع رموز اجتياز مسار مشفّرة.
- تأكد من تفعيل التحديثات التلقائية في الخلفية لمعالجة الحوادث المشابهة بشكل أسرع في المستقبل.
ملاحظة: يصف هذا المقال الثغرة لأغراض إعلامية ودفاعية فقط، استنادًا إلى تقارير أمنية متاحة للعامة. ولا يتضمن خطوات استغلال أو أي كود.
المصادر:
- WordPress 7.1.2 يصلح ثغرة حرجة من نوع اجتياز المسار (Path Traversal) دون الحاجة إلى مصادقة (CVE-2026-87902) – Help Net Security
- CVE-2026-87902: إثبات مفهوم (PoC) عملي لثغرة اجتياز المسار الحرجة في WordPress – Hadrian
- CVE-2026-87902: المهاجمون بدؤوا فحص مواقع WordPress بعد ساعات من إصدار التصحيح – Patchstack
- CVE-2026-87902: ثغرة حرجة في تضمين الملفات في WordPress وتنفيذ شيفرة عن بُعد (RCE) مشروط — Robert Ressl
- WordPress 7.1.2 يعالج ثغرة تضمين الملفات CVE-2026-87902 – Cyber Kendra