به‌روزرسانی امنیتی وردپرس ۷.۰.۳ منتشر شد؛ ۱۲ آسیب‌پذیری و یک نقص بحرانی
انتشار آپدیت امنیتی وردپرس 7.0.3 زنگ خطری جدی برای تمامی مدیران وبسایت ها به صدا درآورد. در میان دوازده آسیب پذیری برطرف شده در این نسخه، یک باگ بحرانی با شناسه CVE-2026-64638 وجود دارد که مستقیماً صفحه ورود (wp-login.php) را هدف می گیرد. بهره برداری از این باگ به هیچ حساب کاربری یا نشست فعالی نیاز ندارد و تحت شرایطی خاص می تواند به اجرای مستقیم کدهای مخرب PHP روی هاست منجر شود. در این مطلب تغییرات این نسخه، شیوه نفوذ و اقدامات فوری برای ایمن سازی سایت را بررسی میکنیم.
در آپدیت امنیتی وردپرس 7.0.3 چه مواردی اصلاح شد؟
این بروزرسانی یک انتشار امنیتی خالص است؛ بنابراین قابلیت ظاهری جدیدی به پیشخوان اضافه نمی کند و صرفاً به مسدودسازی روزنه های نفوذ می پردازد. اصلاحات انجام شده گستره ای از باگ های تزریق اسکریپت (XSS)، افشای داده های حساس، جعل درخواست سمت سرور (SSRF) و ارتقای سطح دسترسی در شبکه های چندسایتی را در بر می گیرد.
بیشتر این موارد نیازمند دسترسی کاربری در سطح مشارکت کننده یا نویسنده هستند؛ اما آسیب پذیری CVE-2026-64638 به دلیل عدم نیاز به احراز هویت، خطری عمومی برای تمام وبسایت ها به شمار می رود.
آسیب پذیری CVE-2026-64638 چگونه کار میکند؟
این نقص از نوع اسکریپت نویسی میان سایتی بازتابی (Reflected XSS) در فایل لاگین وردپرس است. مهاجم با ساخت یک پیوند دستکاری شده، کاربر یا مدیر سایت را ترغیب به کلیک می کند. به محض باز شدن این لینک، اسکریپت مخرب در مرورگر قربانی و بر بستر دامنه اصلی سایت اجرا می شود. اگر شخصی که روی لینک کلیک کرده همان لحظه با دسترسی ادمین وارد پیشخوان شده باشد، کد مهاجم می تواند از طرف مدیر به بخش ویرایشگر فایل ها، نصب افزونه های مخرب یا دستکاری هسته نفوذ کند و کنترل کامل سرور را به دست بگیرد.
SEC
خرید لایسنس اورجینال افزونه های امنیتی و طراحی وردپرس
دریافت مستقیم وصله های امنیتی رسمی بدون خطر کدهای مخرب قالب های نال شده
ضمانت اصالت
استفاده از افزونه ها و قالب های غیررسمی بزرگ ترین روزنه نفوذ به سایت های وردپرسی است. با تهیه لایسنس های معتبر در کافه لایسنس، آپدیت های امنیتی را بی وقفه و مستقیم از پیشخوان دریافت کنید.
✓ تحویل فوری و فعالسازی روی دامنه شما
✓ دریافت بروزرسانی های رسمی هسته و پلاگین ها
✓ سازگاری کامل با نگارش های جدید وردپرس
✓ پشتیبانی فنی در تمام روزهای دوره
مشاهده لایسنس های معتبر در کافه لایسنس: محصولات وردپرس
جدول آسیب پذیری های برطرف شده در نگارش ۷.۰.۳
ردیف و شناسه باگ | نوع آسیب پذیری | سطح دسترسی مورد نیاز |
|---|---|---|
CVE-2026-64638 | XSS بازتابی در صفحه ورود با امکان اجرای کدهای PHP | بدون نیاز به احراز هویت |
مورد ۲ تا ۵ | XSS ذخیره شده در بلوک های تاریخ، ویرایش سریع و ایموجی ها | مشارکت کننده و بالاتر |
مورد ۶ | ارتقای غیرمجاز سطح دسترسی در شبکه های چندسایتی | مدیر زیرسایت (Multisite) |
مورد ۷ تا ۹ | افشای اطلاعات و خوراک دیدگاه های محافظت شده | عمومی بدون دسترسی |
مورد ۱۰ تا ۱۲ | تزریق استایل CSS، دور زدن تایید ایمیل و جعل SSRF | نویسنده و بالاتر |
نسخه فعلی شما به کدام نسخه اصلاحی باید ارتقا یابد؟
مایکروسافت و جامعه متن باز وردپرس برای تمام شاخه های فعال وصله امنیتی منتشر کرده اند؛ بنابراین نیازی به ارتقای اجباری به شاخه های بالاتر ندارید و کافی است نگارش اصلاحی شاخه خودتان را نصب نمایید:
اگر روی شاخه ۷.۰ هستید: فوراً به ۷.۰.۳ ارتقا دهید.
اگر روی شاخه ۶.۹ هستید: به نگارش ۶.۹.۶ بروزرسانی کنید.
اگر روی شاخه ۶.۸ هستید: نگارش ۶.۸.۷ را نصب نمایید.
اگر از نسخه های قدیمی تر از ۶.۸ استفاده میکنید، سایت شما ماه هاست در معرض پویش های خودکار روبات های نفوذگر قرار دارد و بروزرسانی مرحله به مرحله همراه با پشتیبان گیری الزامی است.
مراحل بروزرسانی امن هسته وردپرس بدون اختلال در عملکرد سایت
تهیه نسخه پشتیبان کامل: فایل ها و دیتابیس را به طور کامل بکاپ بگیرید و خارج از سرور ذخیره نمایید.
بروزرسانی هسته وردپرس: از بخش پیشخوان گزینه بروزرسانی را بزنید.
ارتقای افزونه های کلیدی: پلاگین های فعال را به آخرین نسخه مجهز کنید؛ در صورت استفاده از صفحه سازها مراحل ایمن را طبق مقاله آموزش نصب و فعال سازی Elementor Pro پیش ببرید تا قالب به هم نریزد.
بررسی خطاهای سرور و لایسنس ها: در صورت مواجهه با وقفه در لود صفحات، راهکارهای مطرح شده در راهنمای رفع خطای 504 وردپرس را پیاده سازی نمایید.
پاکسازی کش و بررسی نهایی: حافظه نهان سرور و افزونه ها را خالی کرده و فرآیند ثبت نام و خرید را تست فرمایید.
افزونه های نال شده؛ بزرگ ترین روزنه نفوذ در ایران
بخش اعظم حملات موفق در وب فارسی نه از طریق باگ های هسته، بلکه از راه افزونه ها و قالب های دستکاری شده (نال شده) صورت می گیرد. این فایل ها کدهای دسترسی مخفی در خود دارند و فایروال ها را بی اثر می کنند. برای حفظ پایداری زیرساخت باید فاکتورهای سروری را طبق راهنمای سرور ایران یا CDN بهینه سازی کنید و ساختار صفحات را بر اساس ضوابط مقاله خدمات طراحی سایت و سئو جلو ببرید تا از حملات بدافزاری پیشگیری شود.
CL
خدمات تخصصی کافه لایسنس برای وب مستران
ارائه لایسنس های اصلی، ابزارهای کاربردی و بهینه سازی ساختار وب
در کافه لایسنس تمامی لایسنس ها به صورت قانونی فعال می شوند. همچنین میتوانید به صورت آنلاین کدهای صفحات خود را در ابزار رایگان اسکنر سئو کافه لایسنس بسنجید تا از سلامت تگ ها مطمئن شوید.
• پرداخت مستقیم ریالی • فعالسازی معتبر بدون قطعی • پشتیبانی ۲۴ ساعته
جمع بندی
وصله های امنیتی را نباید به تاخیر انداخت؛ به محض انتشار عمومی اطلاعات یک باگ، پویش های خودکار هکرها آغاز می شوند. همین امروز نسخه وردپرس سایت خود را بررسی کنید و با ارتقا به نگارش ۷.۰.۳ یا نسخه های متناظر شاخه های قبلی، امنیت دارایی دیجیتال خود را تضمین نمایید.
سوالات متداول
آیا بروزرسانی به نگارش ۷.۰.۳ چیدمان صفحات را تغییر میدهد؟
خیر؛ این نسخه تغییرات عملکردی یا ظاهری ندارد و تنها به برطرف کردن حفره های امنیتی هسته می پردازد.
چگونه نسخه دقیق وردپرس نصب شده روی هاست را تشخیص دهیم؟
علاوه بر بخش سلامت سایت در پیشخوان، میتوانید فایل wp-includes/version.php را باز کرده و مقدار متغیر $wp_version را بخوانید.
آیا فایروال های هاستینگ مانع از نفوذ این باگ می شوند؟
فایروال ها تنها الگوهای شناخته شده را مهار میکنند؛ از آنجا که این حمله با کلیک مدیر و از بستر صفحه قانونی لاگین صورت میگیرد، تنها راهکار قطعی نصب نسخه رسمی وصله شده است.
دیدگاه‌ها
هنوز دیدگاهی ثبت نشده است. اولین نفر باشید.