آسیب‌پذیری جدید wp2shell در هسته وردپرس: اجرای کد از راه دور توسط مهاجمین ناشناس

شرح خبر

در به‌روزرسانی ۱۸ ژوئیه ۲۰۲۶، دو آسیب‌پذیری بحرانی در هسته وردپرس با شناسه‌های CVE-2026-63030 و CVE-2026-60137 افشا شدند که امکان اجرای کد از راه دور (RCE) توسط کاربرانی ناشناس را فراهم می‌کنند. این آسیب‌پذیری‌ها که تحت عنوان wp2shell شناخته می‌شوند، از طریق زنجیره‌ای از ابهام در مسیر دست‌اندرکار REST API و تزریق SQL در هسته وردپرس عمل می‌کنند. تمام سایت‌های وردپرس با نسخه‌های ۶.۹ و ۷.۰ تا پیش از انتشار نسخه‌های اصلاحی ۶.۹.۵ و ۷.۰.۲ در معرض خطر بودند. وردپرس این به‌روزرسانی‌ها را به صورت «اجباری» از طریق سیستم به‌روزرسانی خود اعمال کرد، اما هنوز مشخص نیست آیا سایت‌هایی که به‌روزرسانی خودکار را غیرفعال کرده‌اند نیز تحت پوشش قرار می‌گیرند یا خیر. بیش از ۵۰۰ میلیون وب‌سایت از وردپرس استفاده می‌کنند، اما زنجیره RCE تنها نسخه‌های ۶.۹ به بعد را تحت تاثیر قرار می‌دهد. مکانیسم کامل حمله و یک اثبات مفهومی عملی در GitHub منتشر شده است. دو آسیب‌پذیری جدید در هسته وردپرس با شناسه‌های CVE-2026-63030 و CVE-2026-60137 کشف شدند که امکان اجرای کد از راه دور توسط مهاجمین ناشناس را فراهم می‌کنند. این آسیب‌پذیری‌ها که wp2shell نامیده می‌شوند، از طریق زنجیره‌ای از ابهام در مسیر REST API و تزریق SQL در هسته وردپرس عمل می‌کنند. نسخه‌های ۶.۹ و ۷.۰ وردپرس تا پیش از انتشار وصح‌های ۶.۹.۵ و ۷.۰.۲ در معرض خطر بودند. وردپرس این وصح‌ها را به صورت اجباری اعمال کرد، اما هنوز مشخص نیست آیا سایت‌هایی با به‌روزرسانی خودکار غیرفعال نیز تحت پوشش قرار می‌گیرند. مکانیسم کامل حمله و اثبات مفهومی عملی در دسترس عمومی قرار گرفته است. این آسیب‌پذیری‌ها به دلیل گستردگی استفاده از وردپرس و شدت بالای آن‌ها اهمیت زیادی دارند. اجرای کد از راه دور توسط مهاجمین ناشناس می‌تواند منجر به کنترل کامل سایت‌ها، سرقت داده‌ها و حتی حمله به زیرساخت‌های میزبانی شود. علاوه بر این، انتشار عمومی مکانیسم حمله و اثبات مفهومی عملی، احتمال سوءاستفاده سریع از این آسیب‌پذیری‌ها را افزایش می‌دهد. سایت‌های تجاری و سازمانی که از وردپرس استفاده می‌کنند، در معرض خطر از دست دادن داده‌ها، اختلال در خدمات و آسیب به اعتبار برند هستند. حمله‌های موفق می‌توانند منجر به جریمه‌های قانونی، از دست رفتن مشتریان و هزینه‌های بالای بازیابی شوند. در ایران، بسیاری از سایت‌های دولتی، تجاری و شخصی از وردپرس استفاده می‌کنند. آسیب‌پذیری‌های این چنینی می‌توانند توسط مهاجمین برای حمله به زیرساخت‌های حیاتی، سرقت اطلاعات حساس و ایجاد اختلال در خدمات آنلاین مورد سوءاستفاده قرار گیرند. این آسیب‌پذیری‌ها ممکن است منجر به نقض قوانین حفاظت از داده‌ها و حریم خصوصی شوند. سازمان‌ها موظفند اقدامات فوری برای وصح سیستم‌های خود انجام دهند تا از جریمه‌های قانونی و مسئولیت‌های حقوقی جلوگیری کنند. آسیب‌پذیری‌های وردپرس می‌توانند توسط گروه‌های هکری دولتی یا غیردولتی برای حمله به سایت‌های کشورها و سازمان‌های بین‌المللی مورد سوءاستفاده قرار گیرند. فنی و امنیتی دو آسیب‌پذیری بحرانی در هسته وردپرس کشف شد که مهاجمین ناشناس می‌توانند از آن‌ها برای اجرای کد از راه دور استفاده کنند. وصح فوری ضروری است.

این صفحه خلاصه و تحلیل فارسی خبر را نمایش می‌دهد. نسخه کامل/اصلی از طریق لینک منبع در دسترس است.