امنیت وردپرس 7.1.4؛ رفع RCE و Stored XSS در هسته

امنیت وردپرس ۷.۱.۴ چیست؟

وردپرس یک سامانهٔ مدیریت محتوا برای ساخت و نگهداری سایت است؛ این خبر نشان می‌دهد چگونه با یک به‌روزرسانی امنیتی، ریسک‌های مهم هسته را کاهش دهیم.

امنیت وردپرس ۷.۱.۴ به مجموعه‌ای از اصلاحات هستهٔ وردپرس گفته می‌شود که برای کاهش ریسک اجرای کد از راه دور، XSS ذخیره‌شده و افشای تغییرات منتشرنشده ارائه شده است. وردپرس یک سامانهٔ مدیریت محتوا برای ساخت و نگهداری سایت است و هستهٔ آن باید پیش از قالب و افزونه‌ها به‌روز بماند. این مطلب بر اساس اعلام رسمی WordPress.org نوشته شده است.

نسخهٔ ۷.۱.۴ در ۲۸ اکتبر ۲۰۲۶ منتشر شد و یک انتشار امنیتی کوتاه‌چرخه است. تیم وردپرس توصیه کرده سایت‌هایی که از این شاخه پشتیبانی می‌کنند، به‌روزرسانی را فوری انجام دهند. برای آشنایی با مطالب فنی بیشتر دربارهٔ امنیت وردپرس ۷.۱.۴ می‌توانید به مجلهٔ تکتاز سر بزنید.

چه ایرادهایی اصلاح شده‌اند؟

مهم‌ترین بخش امنیت وردپرس ۷.۱.۴ به ضعف فرایند ارتقا مربوط است؛ این ضعف در پنجرهٔ به‌روزرسانی می‌توانست در شرایط خاص به اجرای کد از راه دور منجر شود. در کنار آن، چندین Stored XSS در بلوک‌های وردپرس، بلوک‌های Playlist و تصویر، Categories block، ورودهای ویژه و بازسازی انتخابی Customizer اصلاح شده است. Stored XSS زمانی خطرناک است که دادهٔ کنترل‌شده توسط مهاجم ذخیره شود و بعد در صفحهٔ مدیر یا بازدیدکننده بدون پاک‌سازی مناسب اجرا شود.

این نسخه همچنین یک Stored DoS در Interactivity API را برطرف می‌کند. در همین API چند مشکل XSS مستقل گزارش شده بود. امکان کشف changesetهای منتشرنشدهٔ Customizer برای کاربر بدون احراز هویت نیز اصلاح شده است. یادداشت‌هایی که کاربران دارای سطح دسترسی نامناسب می‌توانستند بخوانند و به‌روزرسانی گواهی‌های ریشه پس از ابطال eMudhra، بخش‌های دیگر این انتشار هستند.

چک‌لیست به‌روزرسانی امن

پیش از اجرای امنیت وردپرس ۷.۱.۴، از فایل‌ها و پایگاه‌داده نسخهٔ پشتیبان جداگانه بگیرید و مطمئن شوید نسخهٔ پشتیبان واقعاً قابل بازیابی است. سپس فهرست افزونه‌ها و قالب‌ها را ثبت کنید، تغییرات سفارشی را بشناسید و در صورت امکان ابتدا نسخه را در staging آزمایش کنید. به‌روزرسانی هسته را از پیشخوان رسمی یا بستهٔ WordPress.org انجام دهید و فایل‌های دریافتی را از منبع معتبر بگیرید.

• نسخهٔ فعلی هسته، PHP و افزونه‌های حساس را ثبت کنید.
• قبل از تغییر، backup و امکان rollback را بررسی کنید.
• در staging ورود، فرم‌ها، ویرایشگر، رسانه و فرایندهای سفارشی را تست کنید.
• پس از انتشار، نسخهٔ هسته، لاگ خطا و سلامت افزونه‌های امنیتی را کنترل کنید.
• اگر سایت خودکار به‌روزرسانی می‌شود، نتیجهٔ job و اعلان خطا را بررسی کنید.

بعد از آپدیت چه چیزی را بررسی کنیم؟

بعد از امنیت وردپرس ۷.۱.۴، چند صفحهٔ عمومی و پنل مدیریت را با کاربرهای واقعی آزمایش کنید. لاگ‌های وب‌سرور را برای خطای ۵۰۰، redirect غیرمنتظره، خطای PHP و درخواست‌های مشکوک بررسی کنید. اگر افزونه یا قالبی با نسخهٔ جدید ناسازگار شد، ابتدا در staging غیرفعال‌سازی یا به‌روزرسانی آن را آزمایش کنید و از حذف عجولانهٔ داده‌ها خودداری کنید. وجود یک هشدار امنیتی به‌تنهایی به معنی آلوده بودن سایت نیست، اما باید علت خطا و زمان‌بندی رخدادها مستند شود.

همچنین سطح دسترسی حساب‌های مدیر را بازبینی کنید، نشست‌های ناشناس را ببندید و مطمئن شوید پشتیبان‌گیری در همان سرور اصلی نگهداری نمی‌شود. اگر از CDN، WAF یا سامانهٔ پایش استفاده می‌کنید، رخدادهای مربوط به درخواست‌های غیرعادی را با زمان اجرای به‌روزرسانی تطبیق دهید. این کار کمک می‌کند خطای واقعی پس از آپدیت از ترافیک مخرب یا تنظیمات قدیمی جدا شود و تصمیم اصلاحی بر پایهٔ شواهد باشد.

امنیت وردپرس ۷.۱.۴ جایگزین به‌روزرسانی افزونه‌ها، محدودکردن دسترسی مدیران، احراز هویت چندمرحله‌ای، پشتیبان‌گیری و پایش لاگ‌ها نیست. مدیر سایت باید این اصلاحیه را بخشی از چرخهٔ نگهداری قرار دهد، نه اقدامی یک‌باره. اگر پس از به‌روزرسانی مشکل دیدید، نسخهٔ هسته، نام افزونهٔ درگیر، متن خطا و زمان رخداد را ثبت کنید تا بررسی دقیق بدون حدس‌زدن انجام شود.

جمع‌بندی

انتشار ۷.۱.۴ چند مسیر مهم حمله در هستهٔ وردپرس و فرایند ارتقا را می‌بندد. اقدام عملی این است: پشتیبان بگیرید، ابتدا staging را تست کنید، هسته را از منبع رسمی به‌روز کنید و سپس لاگ‌ها و قابلیت‌های کلیدی سایت را کنترل کنید. این ترتیب احتمال اختلال را کم می‌کند و به تیم اجازه می‌دهد در صورت ناسازگاری، rollback مستند داشته باشد.