كشف تنبيه أمني نُشر في 5 نوفمبر 2026 عن ثغرة حرجة في إضافة Security For WooCommerce الخاصة بمواقع WordPress والمتاجر المبنية باستخدام WooCommerce. الخلل قد يسمح لزائر غير مسجل بإنشاء حساب جديد وتحديد دوره، بما في ذلك دور مدير الموقع، وهو ما قد يؤدي إلى السيطرة الكاملة على الموقع.
تحمل الثغرة المعرف CVE-2026-100109، وصُنفت بدرجة خطورة 9.8 من 10 وفق مقياس CVSS 3.0 الذي أدرجه WPScan بصفته جهة الإسناد (CNA). وتكمن أهمية التنبيه في أن الهجوم لا يحتاج إلى حساب سابق أو تفاعل من مستخدم آخر وفق وصف الثغرة.
كيف تسمح الثغرة بإنشاء حساب مدير؟
بحسب وصف WPScan وسجل الثغرة، لا تنفذ الإضافة فحوص الصلاحيات المطلوبة عند إنشاء المستخدمين من خلال إجراء متاح للزوار غير المسجلين. كما تسمح للجهة التي ترسل الطلب بتحديد دور الحساب الجديد بدل فرض دور محدود وآمن من جانب الخادم.
هذا يعني أن المهاجم قد يتمكن من طلب إنشاء حساب بصلاحيات Administrator دون أن يمتلك حسابًا مسبقًا. وبمجرد الحصول على صلاحيات المدير، يمكن أن يصبح الموقع وبياناته وإعداداته معرضة للخطر، بما في ذلك بيانات المتجر والطلبات والعملاء بحسب الصلاحيات والبيانات المتاحة على الموقع.
لا تنشر المصادر التي راجعناها تفاصيل تنفيذية كاملة عن نقطة الوصول أو الطلب الذي يستدعي الإجراء، كما أن WPScan يؤجل نشر إثبات المفهوم إلى 1 فبراير 2027 لإتاحة وقت للمعالجة. لذلك لا يصح إضافة تفاصيل استغلال غير منشورة أو افتراض وجود حملة هجمات نشطة.
ما الإصدارات المتأثرة؟
يسجل التنبيه الإصدارات من 1.0.10 إلى 1.0.16 باعتبارها متأثرة. ويظهر سجل WPScan أنه لا يوجد إصلاح معروف حتى وقت نشر التنبيه، بينما توضح صفحة الإضافة على WordPress.org أنها أُغلقت في 13 أكتوبر 2026 مؤقتًا لحين مراجعة كاملة، ولم تعد متاحة للتنزيل من الدليل.
إغلاق الإضافة في الدليل لا يعني أن النسخ المثبتة مسبقًا على المواقع قد أزيلت أو توقفت تلقائيًا؛ فقد تظل الملفات موجودة وتعمل على أي موقع سبق تثبيتها عليه. كما لا ينبغي اعتبار الإصدارات الأقدم من 1.0.10 آمنة لمجرد أن سجل الثغرة لم يذكرها ضمن النطاق المتأثر.
ما الذي يجب على أصحاب مواقع WooCommerce فعله؟
- ابحث عن الإضافة بالاسم والمجلد: تحقق من قائمة الإضافات ومن ملفات الموقع عن الاسم Security For WooCommerce أو المجلد
ultimate-security-for-woocommerce. - عطّل الإضافة وأزلها: لا يوجد إصلاح معروف في التنبيه، كما أن صفحة الإضافة مغلقة. الإجراء الاحترازي هو تعطيلها وحذفها إلى أن يصدر المطور إصدارًا مصححًا موثوقًا.
- راجع حسابات المديرين: افحص جميع الحسابات ذات دور Administrator، وراجع تواريخ إنشائها، وابحث عن حسابات غير معروفة أو أُنشئت خلال فترة وجود الإضافة.
- افحص سجلات الخادم: راجع طلبات إنشاء الحسابات والأنشطة غير المعتادة المرتبطة بالمستخدمين، مع عدم افتراض أن اسم الإجراء وحده يكشف كل محاولات الاستغلال.
- إذا وجدت حسابًا غير مصرح به: تعامل مع الموقع باعتباره قد تعرض للاختراق؛ أزل الحساب بعد حفظ الأدلة اللازمة، وغيّر كلمات مرور الإدارة ومفاتيح الوصول، وأنهِ الجلسات النشطة، وافحص الملفات والإضافات والقوالب والمهام المجدولة.
- احتفظ بنسخة احتياطية سليمة: خذ نسخة من الملفات وقاعدة البيانات قبل أي معالجة واسعة، وتأكد من أن النسخة لا تحتوي على ملفات أو حسابات مشبوهة.
هل جرى استغلال الثغرة بالفعل؟
لا يقدم سجل الثغرة أو تنبيه WPScan تأكيدًا على استغلالها في هجمات فعلية حتى وقت إعداد هذا التقرير. كما أشارت قاعدة بيانات Brandefense إلى أن الثغرة لم تكن مدرجة في كتالوج CISA للثغرات المستغلة المعروفة وفق نسخة الكتالوج 2026.11.04. هذه نقطة زمنية قابلة للتغير، ولا تعني أن الخطر النظري منخفض؛ فدرجة 9.8 تصف شدة الأثر المحتمل وليست دليلًا على حدوث اختراقات.
كذلك يجب التمييز بين تاريخ إغلاق الإضافة في WordPress.org في 13 أكتوبر، وتاريخ نشر سجل CVE في 5 نوفمبر، وتاريخ نشر تفاصيل WPScan في 3 نوفمبر. هذه أحداث مختلفة ولا تعني أن الإضافة أُغلقت بسبب هذه الثغرة تحديدًا؛ صفحة الدليل تقول إن الإغلاق مؤقت وبانتظار مراجعة كاملة.
الخلاصة
إذا كان أي موقع WordPress أو متجر WooCommerce يستخدم إضافة Security For WooCommerce، فيجب التحقق من وجودها وإزالتها احترازيًا، لأن الإصدارات المسجلة متأثرة ولا يوجد إصلاح معروف حتى الآن. والأهم هو مراجعة حسابات المديرين وسجلات الدخول، لأن إنشاء حساب إداري غير مصرح به قد يكون مؤشرًا على اختراق أوسع للموقع.
المصادر
- WPScan – Security For WooCommerce 1.0.10–1.0.16: Unauthenticated Privilege Escalation
- WordPress.org – Security For WooCommerce plugin directory
- NIST National Vulnerability Database – CVE-2026-100109
- GitHub Advisory Database – CVE-2026-100109
اكتشاف المزيد من lightweb2
اشترك للحصول على أحدث التدوينات المرسلة إلى بريدك الإلكتروني.
