ثغرات ووردبريس wp2shell دخلت مرحلة الاستغلال الواسع، ما يضع آلاف المواقع أمام خطر تنفيذ أوامر عن بُعد والسيطرة الكاملة عليها.
ما هي ثغرات ووردبريس wp2shell ولماذا تعد خطيرة؟
بدأ مهاجمون باستغلال سلسلتين أمنيتين بالغتي الخطورة في WordPress، تحملان المعرفين CVE-2026-63030 وCVE-2026-60137. وعند دمجهما، يمكن للمهاجم الوصول إلى تنفيذ تعليمات برمجية عن بُعد من دون تسجيل دخول.
الخطورة هنا لا تتعلق بإضافة خارجية أو إعداد نادر، بل بتثبيت افتراضي لووردبريس في عدد كبير من الحالات. وهذا ما جعل موجة المسح والاستهداف ترتفع بسرعة خلال ساعات قليلة فقط.
كيف يعمل هجوم wp2shell على مواقع ووردبريس؟
يعتمد الهجوم على مرحلتين مترابطتين. الأولى تستغل ارتباكاً في مسار REST API batch endpoint لتجاوز التحقق من الصلاحيات، بينما تسمح الثانية بحقن SQL عبر تمرير مدخلات غير موثوقة إلى WP_Query.
ماذا يحقق المهاجم من هذا الدمج؟
- تجاوز المصادقة من دون حساب مستخدم
- الوصول إلى استعلامات قاعدة البيانات بشكل غير مشروع
- استخراج بيانات حساسة مثل كلمات المرور المجزأة
- الانتقال لاحقاً إلى تنفيذ أوامر على الخادم
وبحسب المعطيات المتداولة في القطاع، بدأ الاستغلال أولاً بسرقة بيانات اعتماد مجزأة، ثم تطور إلى تشغيل أوامر عن بُعد بعد نشر تفاصيل إضافية عن طريقة الهجوم.
ما هي إصدارات ووردبريس المتأثرة بهذه الثغرات؟
تشير المعلومات المتاحة إلى أن ثغرة SQL Injection موجودة ابتداءً من الإصدار 6.8، بينما يصل تأثير تنفيذ الأوامر عن بُعد إلى الإصدارات 6.9 وما بعدها في بيئات محددة.
- CVE-2026-60137: موجودة من WordPress 6.8 فأحدث
- CVE-2026-63030: تؤثر على WordPress 6.9 فأحدث
- الخطر يرتفع عندما لا يكون Persistent Object Cache مفعلًا
- الاستهداف يشمل المواقع ذات الإعدادات الافتراضية
وهذا يعني أن عدداً كبيراً من المواقع قد يكون مكشوفاً، خاصة إذا لم تُطبق التحديثات الأمنية فور صدورها. كما ذكر تيكبامين، سرعة الاستغلال تعني أن التأخير في المعالجة لم يعد خياراً آمناً.
ما حجم الهجمات الجارية على مواقع ووردبريس؟
بيانات الرصد الأمني ربطت الاستغلال بعدة عناوين IP موزعة على دول مختلفة، من بينها سويسرا وألمانيا والمملكة المتحدة وإندونيسيا وليتوانيا وهولندا وسنغافورة. هذا الانتشار الجغرافي يعكس انتقال الهجوم من الاختبار إلى حملة مسح جماعية.
أرقام تكشف مستوى التعرض
- 60% من المؤسسات التي تستخدم WordPress امتلكت مثيلاً واحداً ضعيفاً على الأقل عند نشر الثغرات
- 25% من تلك الجهات كانت تعرض خادماً ضعيفاً مباشرة على الإنترنت
- الاستغلال بدأ خلال وقت قصير جداً من ظهور المعلومات العلنية
هذه المؤشرات توضح أن ثغرات ووردبريس wp2shell ليست حالة نظرية، بل تهديد عملي واسع النطاق يستدعي فحص الإصدارات، تفعيل الحماية المؤقتة، وتسريع التحديثات. وفي تقدير تيكبامين، فإن أي موقع لم يراجع وضعه الأمني الآن قد يواجه اختراقاً كاملاً خلال موجات المسح التالية.
