كشفت Searchlight Cyber عن ثغرة خطيرة في نواة WordPress أطلقت عليها اسم wp2shell. الثغرة تعمل على تثبيت WordPress افتراضي بلا إضافات، وتسمح لمهاجم بالانتقال من طلب HTTP عادي إلى تنفيذ أوامر على الخادم دون الحاجة إلى تسجيل الدخول. (Searchlight Cyber)
ثغرتان أمنيتان تؤديان إلى RCE
wp2shell ليست ثغرة واحدة، بل سلسلة تجمع مشكلتين منفصلتين:
- CVE-2026-63030: خلل route confusion في واجهة REST Batch API.
- CVE-2026-60137: ثغرة SQL Injection داخل نواة WordPress.
الخلل الأول يسبب عدم تطابق بين الطلبات والمسارات التي تعالجها داخل /wp-json/batch/v1، ما يسمح بتمرير مدخلات إلى معالج مختلف عن الذي تم التحقق منه. بعد ذلك تصل المدخلات إلى ثغرة SQL Injection في WP_Query. عند جمع الثغرتين، يمكن الانتقال من طلب غير موثّق إلى تنفيذ أوامر عن بُعد. (The Hacker News)
الإصدارات المتأثرة
الثغرة لا تؤثر في كل إصدارات WordPress. الاصدارات التي فيها الثغرة هي:
- WordPress من 6.9.0 إلى 6.9.4: سلسلة RCE كاملة.
- WordPress من 7.0.0 إلى 7.0.1: سلسلة RCE كاملة.
- WordPress من 6.8.0 إلى 6.8.5: متأثر بثغرة SQL Injection فقط، وليس بسلسلة wp2shell الكاملة.
- الإصدارات الأقدم من 6.8 ليست متأثرة بهذه الثغرتين. (WordPress.org)
التحديثات المصححة هي WordPress 7.0.2 و6.9.5 و6.8.6. كما تحتوي WordPress 7.1 beta2 على الإصلاحات. (WordPress.org)
كود لاستخدام الثغرة أصبح علنيًا
حاولت Searchlight Cyber تأخير نشر التفاصيل التقنية لإعطاء مسؤولي المواقع وقتًا للتحديث، لكن الإصلاح نفسه كشف مكان الخلل، وتمكن باحثون آخرون من إعادة بناء آلية عمل الثغرة ونشر PoC علني بسرعة. (The Hacker News)
المستودع المنشور على GitHub يثبت إمكانية الوصول إلى SQL Injection دون مصادقة وقراءة بيانات من قاعدة البيانات، ومنها أسماء المستخدمين وملخصات كلمات المرور. لكن أداة رفع webshell الموجودة فيه تحتاج إلى بيانات دخول مدير صالحة، ولا تمثل وحدها خطوة RCE كاملة قبل تسجيل الدخول.
حتى 18 يوليو، لم يكن هناك تأكيد علني على حملات استغلال نشطة، ولم تكن الثغرتان مضافتين إلى قائمة CISA للثغرات المستغلة فعليًا. لكن وجود التفاصيل وPoC عام يعني أن الموضوع اصبح مسألة وقت لا غير. (The Hacker News)
WordPress فعّل التحديثات الإجبارية
بسبب خطورة المشكلة، فعّل فريق WordPress ما وصفه بالتحديثات الإجبارية عبر نظام التحديث التلقائي للمواقع التي تستخدم إصدارات متأثرة. لكن WordPress لم يوضح هل ستصل هذه التحديثات إلى المواقع التي عطلت التحديثات التلقائية يدويًا، لذلك يجب التحقق من النسخة بدل افتراض أن الموقع تم تحديثه. (WordPress.org)
افتح لوحة تحكم WordPress، ثم انتقل إلى التحديثات وتأكد من تشغيل إحدى النسخ المصححة.
إذا تعذر التحديث فورًا، يمكن حظر الوصول المجهول مؤقتًا إلى المسارين التاليين عبر WAF:
/wp-json/batch/v1
?rest_route=/batch/v1
هذا إجراء مؤقت وقد يعطل بعض التكاملات. الإصلاح الحقيقي هو تحديث WordPress. (Searchlight Cyber)
مكتوب من GPT 5.6 Sol High
المصادر
1 Searchlight Cyber:
https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/
2 إعلان WordPress 7.0.2:
https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
3 ال POC المنشور:
https://github.com/Icex0/wp2shell-poc
[4] تقرير The Hacker News وتفاصيل أرقام CVE:
https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw-lets.html?m=1