مقدمه:
یک هکر بدون داشتن نام کاربری، بدون نصب هیچ افزونهای و بدون اینکه شما حتی متوجه شوید، کنترل کامل سرور سایت وردپرسی شما را در دست بگیرد. این دقیقا سناریوی وحشتناکی است که آسیبپذیری بحرانی wp2shell (با شناسه CVE-2026-63030) رقم زده است. اگر از نسخههای ۶.۹.x یا ۷.۰.x وردپرس استفاده میکنید، سایت شما همین حالا در معرض خطر اجرای کد از راه دور (RCE) قرار دارد.
برای مقابله با این بحران امنیتی، نباید دست روی دست بگذارید. در این مقاله از بخش آموزش نوژن، ابعاد این آسیب پذیری را زیر ذرهبین بردهایم تا با چند اقدام فوری و دقیق، امنیت کامل را به زیرساخت و سایت خود برگردانید.
کدام نسخهها آسیبپذیر هستند؟
این آسیب پذیری خطرناک از نسخه ۶.۹ وارد هسته وردپرس شده است. همچنین در به روزرسانی امنیتی اخیر، یک باگ مجزای تزریق SQL (با شناسه CVE-2026-60137) نیز برطرف شده است که نسخههای ۶.۸ به بعد را تحت تاثیر قرار میدهد. در جدول زیر، وضعیت نسخههای مختلف و اقدام فوری موردنیاز را مشاهده میکنید:
| نسخه نصبشده روی سایت | وضعیت امنیت | اقدام لازم و فوری |
|---|---|---|
| ۶.۹.۰ تا ۶.۹.۴ | بهشدت آسیبپذیر | ارتقا فوری به نسخه ۶.۹.۵ یا جدیدتر |
| ۷.۰.۰ تا ۷.۰.۱ | بهشدت آسیبپذیر | ارتقا فوری به نسخه ۷.۰.۲ یا جدیدتر |
| ۶.۸.۵ و قدیمیتر | در برابر wp2shell ایمن است | ارتقا برای دریافت سایر وصلههای امنیتی |
| نسخه آزمایشی ۷.۱ | آسیبپذیر | ارتقا فوری به نسخه Beta 2 یا جدیدتر |
علت ایجاد آسیبپذیری
نقص امنیتی wp2shell نتیجه ترکیب دو خطای مهلک در هسته وردپرس است: «سردرگمی در مسیریابی درخواستهای گروهی REST API» و «تزریق کدهای SQL». زمانی که این دو اختلال در کنار هم قرار میگیرند، مسیرهای امنیتی سرور دور زده شده و مهاجم میتواند کدهای دلخواه خود را مستقیما به خورد وب سرور بدهد.
wp2shell چه خطری دارد؟
خطر اصلی wp2shell در «بینیاز بودن به تعامل» است. یعنی هکر برای نفوذ، نه نیازی به حساب کاربری دارد، نه نیازی به کلیک کردن شما روی یک لینک مخرب و نه حتی نیازی به وجود یک افزونه آسیب پذیر. او از بیرون مستقیما کدهای خود را روی سرور اجرا میکند.
اگرچه در زمان انتشار گزارشهای اولیه، حملات گستردهای بر پایه این باگ ثبت نشده بود، اما نبودِ گزارش عمومی به معنای امنیت نیست. هکرها معمولاً منتظر میمانند تا جزئیات فنی آسیبپذیری (PoC) منتشر شود و سپس حملات کور و رباتیک خود را به میلیونها سایت وردپرسی آغاز میکنند.
اگر سایت شما آسیبپذیر باشد چه اتفاقی میافتد؟
نفوذ موفقیتآمیز از طریق wp2shell به معنای از دست رفتن کامل کنترل سایت است. مهاجمی که از این طریق وارد شود، میتواند اقدامات مخرب زیر را انجام دهد:
- اجرای کد از راه دور (RCE) و در دست گرفتن کنترل کامل سرور یا هاست.
- تغییر ظاهر و محتوای صفحات سایت (Defacement).
- ریدایرکت کردن کاربران سایت به صفحات فیشینگ یا مخرب.
- سرقت اطلاعات حساس پایگاه داده و فایلهای پیکربندی (مانند wp-config.php).
- ایجاد حسابهای کاربری جدید با دسترسی مدیر کل (Administrator).
- کاشت درهای پشتی (Backdoors) پنهان برای نفوذهای بعدی، حتی پس از آپدیت وردپرس!
چگونه نسخه وردپرس را بررسی کنیم؟
برای اینکه مطمئن شوید سایت شما در لیست قربانیان قرار ندارد، باید نسخه وردپرس تمام سایتهای اصلی، محیطهای تستی (Staging)، سابدامینهای فراموششده و سایتهای مشتریانتان را بررسی کنید:
۱. از طریق پیشخوان وردپرس: وارد مسیر پیشخوان > به روزرسانیها شوید و شماره نسخه فعلی را بررسی کنید.
۲. از طریق خط فرمان (تخصصی): اگر در سرور خود به WP-CLI دسترسی دارید، وارد پوشه اصلی سایت شده و این فرمان را اجرا کنید:
چگونه از سایت خود در برابر آسیب پذیری بحرانی wp2shell محافظت کنیم؟
بهترین و تنهاترین راهکار قطعی، به روزرسانی هسته وردپرس به نسخههای اصلاح شده (۶.۹.۵ یا ۷.۰.۲) است. با این حال، اگر امکان آپدیت فوری برایتان مقدور نیست، میتوانید دسترسی ناشناس به مسیرهای زیر را به صورت موقت در فایروال برنامههای وب (WAF) مسدود کنید:
اقدامات پاکسازی در صورت وجود احتمال نفوذ
به خاطر داشته باشید که آپدیت کردن وردپرس، فقط «راه نفوذ» را میبندد؛ اما اگر هکر قبلا وارد شده و درِ پشتی (Backdoor) ساخته باشد، آپدیت کردن، آن را پاک نمیکند. اگر به نفوذ مشکوک هستید، این اقدامات را انجام دهید:
۱. حفظ لاگها: پیش از هر تغییری، لاگهای وب سرور، WAF، هاست و تاریخچه ورود کاربران را برای بررسیهای امنیتی ذخیره کنید.
۲. بررسی تغییرات: فایلهای تازه ویرایششده در هسته، قالبها، افزونهها و بهویژه پوشه mu-plugins را بررسی کنید.
۳. اسکن موارد مشکوک: به دنبال وظایف زمانبندیشده (Cron Jobs) غیرعادی، فایلهای PHP رهاشده، ریدایرکتهای مشکوک یا جاوااسکریپتهای تزریقشده بگردید. حسابهای مدیر ناشناس و Application Passwordهای جدید را فوراً پاک کنید.
۴. تغییر اطلاعات حیاتی: اگر احتمال میدهید سایت هک شده، آن را از یک بکاپ سالم (مربوط به قبل از تاریخ کشف آسیبپذیری) بازیابی کنید. رمز عبور دیتابیس، هاست و تمام مدیران را تغییر دهید.
۵. قطع نشستها: کلیدهای امنیتی (Salts) وردپرس را در فایل wp-config.php تغییر دهید تا تمام نشستهای فعالِ فعلی (حتی نشست هکرها) باطل شود.
جمع بندی
آسیبپذیری wp2shell با سطح خطر بحرانی، بار دیگر ثابت کرد که امنیت در وردپرس یک فرایند ادامهدار است، نه یک اقدام مقطعی. بهترین سپر دفاعی شما در برابر چنین حملات پیشبینینشدهای، استفاده از یک زیرساخت میزبانی ایزوله و ایمن است.
با انتقال سایت خود به هاست اختصاصی وردپرس نوژن، علاوه بر بهرهمندی از سرعت بینظیر، فایروالهای سختگیرانه (WAF) و سیستم بکاپگیری منظم خودکار، خیالتان از بابت نفوذهای سطح سرور و پایداری کسب وکارتان در برابر تهدیدات روزافزون کاملاً راحت خواهد بود.