أضافت CISA في 3 نوفمبر 2026 إلى فهرس الثغرات المستغلة فعليًا الثغرة CVE-2026-119977، وهي حالة تسابق في تحديثات نواة WordPress تتيح لمهاجم دون حساب تنفيذ شيفرة على الخادم أثناء التحديث. وقد صححتها WordPress في الإصدار 7.1.4 الصادر في 28 أكتوبر؛ والإصدارات من 4.7 إلى 7.1.3 متأثرة.
ماذا حدث
في 3 نوفمبر 2026 أدرجت الوكالة الأمريكية CISA الثغرة CVE-2026-119977 في نواة WordPress ضمن فهرس KEV، مؤكدة أنها تُستخدم في هجمات. وأمام الوكالات الفدرالية حتى 6 نوفمبر لتصحيحها، وعليها أيضًا إجراء فحص جنائي رقمي. وكانت WordPress قد عالجت المشكلة في الإصدار 7.1.4 الصادر في 28 أكتوبر مع أحد عشر تصحيحًا أمنيًا آخر، ووصفتها بأنها ضعف في عملية التحديث قد يؤدي إلى تنفيذ شيفرة عن بُعد خلال نافذة التحديث.
كيف يدخل المهاجمون
بحسب سجل CVE الذي نشرته Wordfence، تستخدم التحديثات الكاملة للنواة مسارات مؤقتة يمكن توقعها والوصول إليها من الويب. والمهاجم الذي يربح السباق (ثغرة من نوع time-of-check to time-of-use بدرجة 8.1 وفق CVSS 3.1) يستطيع تنفيذ شيفرة على الخادم دون أي حساب أثناء جريان التحديث. وجميع الفروع من 4.7.0 إلى 7.1.3 معرّضة. الهجوم معقد لكنه حقيقي: بحسب BleepingComputer، أفادت Wordfence بأنها صدّت 13095 محاولة خلال 24 ساعة.
ماذا تفعل الآن
- تحقّق من الإصدار لكل موقع:
wp core versionعبر WP-CLI، أو لوحة التحكم > التحديثات. - حدّث إلى 7.1.4 (
wp core update). وبالنسبة إلى الفروع الأقدم، تقول WordPress إنها تنشر تصحيحات منقولة حتى 4.7: ثبّت أحدث إصدار من فرعك وخطّط للانتقال إلى 7.1. - على سبيل الاحتياط، امنع الوصول من الويب إلى المجلد
wp-content/upgrade/(location ^~ /wp-content/upgrade/ { deny all; }على Nginx، وRequire all deniedعلى Apache)، فلا يحتاجه أي زائر. - ابحث عن آثار: شغّل
wp core verify-checksums، وابحث عن ملفات PHP فيwp-content/upgrade/وعن حسابات مدير مجهولة وملفات عُدّلت حديثًا، وراجع سجلات الويب في فترات التحديثات الأخيرة.
رأينا
كانت نقطة الضعف هنا عملية التحديث نفسها: فلا يكفي التحديث، بل يجب أيضًا حماية اللحظة التي يُثبَّت فيها. وعلى مواقع الشركات ينبغي التحديث بطريقة مضبوطة، وإغلاق مجلدات العمل أمام الويب، والتحقق من سلامة الملفات بعد كل تحديث.
المصادر
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-119977 (WordPress Core)
- WordPress.org — WordPress 7.1.4
- CVE Program — CVE-2026-119977 record
- BleepingComputer — CISA flags WordPress RCE flaw as actively exploited in attacks
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
هل خادمك مكشوف؟ أجرِ فحصًا مجانيًا — معلومات عامة فقط، دون اختراق:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
