لو عندك موقع ووردبريس واحد أو عشرين موقع لعملاء، النهارده يوم تحديث مش يوم تأجيل. ووردبريس نزّلت الإصدار 7.1.4 يوم 28 أكتوبر 2026، وفيه إصلاحات لـ 22 ثغرة، منها ثغرة ممكن توصل لتشغيل كود على السيرفر من غير أي حساب. الخبر الحلو إن الحل كله ياخد أقل من ربع ساعة لو مشيت بالترتيب.
ووردبريس 7.1.4
4 خطوات بعد التحديث الأمني
رتّبها بالأولوية، وابدأ بأقدم موقع عندك
تأكد من رقم الإصدار
افتح لوحة التحكم ← التحديثات، وتأكد أن الموقع على 7.1.4 أو على الإصدار المرقّع لفرعه.
اقفل مجلد upgrade
امنع الوصول إلى wp-content/upgrade/ من إعدادات السيرفر، ثم اختبر أن الرد 403.
راجع الحسابات
أغلب الثغرات تبدأ من دور Contributor؛ احذف الحسابات غير المستخدمة.
افحص كل المواقع
المواقع المتوقفة عند 4.6 أو أقدم لا تصلها أي تحديثات أمنية.
ما الذي يصلحه تحديث ووردبريس 7.1.4؟
الإصدار الأمني (Security Release) الحالي يغلق 22 ثغرة موزعة على 17 بنداً في صفحة الإصدار الرسمية؛ لذلك ستقرأ في بعض المواقع رقم 17 وفي أخرى رقم 22، والرقمان صحيحان. معظم البنود من نوع حقن السكربت المخزَّن (Stored XSS)، أي أن من يملك حساباً على موقعك يستطيع حفظ كود خبيث داخل المحتوى ليعمل لاحقاً في متصفح المدير.
تتوزع هذه الثغرات على أجزاء محددة من النواة:
- واجهة التفاعل (Interactivity API): عدة ثغرات XSS وثغرة حرمان من الخدمة (Denial of Service) مخزّنة، وهي النصيب الأكبر من الإصدار.
- مكوّنات المحرر: مكوّن التصنيفات، ومكوّنات الصور وقوائم التشغيل، وأزرار التنقل بين صفحات التعليقات.
- أداة التخصيص (Customizer): ثغرة XSS في التحديث الجزئي للمعاينة، وثغرة تسمح لزائر غير مسجل باكتشاف تعديلات لم تُنشر بعد.
- الحسابات والخصوصية: أسماء مستخدمين مصممة لحقن كود، وطلبات حذف البيانات الشخصية، وملاحظات المقالات (Notes) التي يقرؤها من لا يملك صلاحية تعديل المقالة.
ويحدّث الإصدار كذلك شهادات الجذر المضمّنة في ووردبريس بعد سحب الثقة من جهة الإصدار eMudhra.
الثغرة الأخطر: تنفيذ كود أثناء نافذة الترقية
البند الذي يستحق انتباهك هو ثغرة حالة السباق (Race Condition) في عملية الترقية نفسها، وقد تنتهي بـ تنفيذ الكود عن بُعد (Remote Code Execution). هي الوحيدة تقريباً التي لا تحتاج أي حساب على الموقع، إلى جانب ثغرة كشف تعديلات أداة التخصيص.
بحسب تحليل Patchstack، يحتاج المهاجم إلى إصابة نافذة زمنية مدتها ثوانٍ أثناء تشغيل التحديث، ويشترط أن يكون مجلد wp-content/upgrade/ متاحاً من المتصفح. لهذا قيّمتها Patchstack بأنها صعبة الاستغلال عملياً، لكنها نبّهت إلى أن النافذة تتكرر مع كل تحديث، بما فيها التحديثات التلقائية التي تحدث وأنت نائم.
بصراحة: حتى لحظة كتابة هذا المقال لم تُعلن أي جهة عن استغلال فعلي لهذه الثغرات، ولم تُنشر لها أرقام CVE في المصادر التي راجعناها. هذا لا يعني أن تنتظر؛ فبعد نشر تفاصيل الإصلاح يصبح عكس هندسته أسهل بكثير.
من يتأثر؟ الإصدارات المرقّعة لكل فرع
لن تُجبر على القفز إلى 7.1 لو كان موقعك على فرع أقدم؛ فقد نُقل الإصلاح إلى الإصدارات الأقدم (Backport) في اليوم نفسه. الجدول التالي من صفحة الإصدار الرسمية:
| فرعك الحالي | عدد الثغرات التي تمسّه | الإصدار المرقّع |
|---|---|---|
| 7.1 | 22 | 7.1.4 |
| — | — | — |
| 7.0 | 22 | 7.0.8 |
| 6.9 | 22 | 6.9.11 |
| 6.8 / 6.7 | 20 | 6.8.12 / 6.7.11 |
| 6.6 | 19 | 6.6.11 |
| 6.5 / 6.4 | 17 | 6.5.14 / 6.4.14 |
| 4.7 | 2 | 4.7.39 |
| 4.6 وما قبله | — | لا تصله أي تحديثات |
تنبيه: ووردبريس تدعم رسمياً أحدث إصدار فقط، والنقل للفروع القديمة مجاملة لا وعد دائم. لو عندك موقع عميل متوقف على 4.x، فهذا وقت مناسب لعرض خطة ترقية عليه.
الخطوة 1: حدّث وتأكد من رقم الإصدار
افتح لوحة التحكم ← التحديثات (Updates) واضغط Update Now. إذا كانت التحديثات التلقائية مفعّلة فالتحديث يبدأ وحده، لكن لا تفترض نجاحه: تحقق من الرقم في أسفل لوحة التحكم أو من صفحة Site Health.
إذا كنت تدير مواقع كثيرة عبر WP-CLI، فالأمر التالي يعرض الإصدار الحالي ثم يحدّث النواة:
wp core version
wp core update
wp core update-db
ملاحظة: خذ نسخة احتياطية (Backup) قبل التحديث لو كان الموقع متجراً أو فيه تعديلات على النواة. الإصدارات الأمنية الصغيرة نادراً ما تكسر شيئاً، لكن النسخة الاحتياطية أرخص من ساعة إصلاح.
الخطوة 2: اقفل مجلد wp-content/upgrade/
هذه توصية Patchstack لإغلاق الثغرة الوحيدة التي لا تحتاج حساباً، وتنبّه إلى أن جدار حماية يعمل داخل PHP لا يستطيع منع هذا الطلب؛ لذلك يجب المنع من إعدادات السيرفر نفسه. ووردبريس يستخدم هذا المجلد من داخل السيرفر فقط، فلا يحتاج الزائر للوصول إليه أبداً.
على Apache أو LiteSpeed، أضف هذا السطر إلى ملف .htaccess في جذر الموقع:
RedirectMatch 403 ^/wp-content/upgrade/
وعلى Nginx، أضف هذا داخل كتلة server ثم أعد تحميل الإعدادات:
location ^~ /wp-content/upgrade/ {
deny all;
}
ثم اختبر النتيجة من جهازك؛ المطلوب أن يرد السيرفر بـ 403:
curl -I https://example.com/wp-content/upgrade/
ملاحظة: أغلب الاستضافات المشتركة المنتشرة عندنا، ومنها Hostinger، تعمل بـ LiteSpeed وتقرأ ملف
.htaccess؛ فسطر Apache يكفيك. لو كانت استضافتك على Nginx ولا تملك الوصول لإعداداته، ابعت السطر للدعم الفني واطلب إضافته.
الخطوة 3: راجع من يملك حساباً على موقعك
معظم الثغرات في هذا الإصدار تبدأ من دور المستخدم (User Role) المسمى Contributor أو أعلى. معنى ذلك أن الخطر الحقيقي في موقعك هو كل حساب كاتب قديم، أو متدرب انتهى عمله، أو حساب أنشأته لعميل مرة ولم تحذفه.
- افتح المستخدمون ← كل المستخدمين ورتّب حسب الدور.
- احذف الحسابات غير المستخدمة، وانقل محتواها لحساب آخر عند الحذف.
- خفّض الأدوار الزائدة: من يكتب مسودات فقط لا يحتاج دور Editor.
في Elementor: بناء الصفحات بـ Elementor لا يعزلك عن هذه الثغرات؛ فهي في ملفات النواة نفسها الموجودة على كل موقع، بغض النظر عن منشئ الصفحات الذي تستخدمه.
اقرأ أيضًا
الأسئلة الشائعة
س: هل يتحدث ووردبريس 7.1.4 تلقائياً؟
ج: نعم في أغلب المواقع، لأن التحديثات الأمنية الصغيرة مفعّلة تلقائياً افتراضياً. لكن بعض الاستضافات أو إضافات الأمان تعطّلها، فتحقق من رقم الإصدار بنفسك.
س: موقعي على ووردبريس 6.9، هل يجب أن أرقّي إلى 7.1؟
ج: لا يلزم فوراً؛ الإصدار 6.9.11 يحمل الإصلاحات نفسها لفرعك. لكن الدعم الرسمي لأحدث إصدار فقط، فخطط للترقية قريباً.
س: هل تحميني إضافة أمان مثل Wordfence من ثغرة الترقية؟
ج: بحسب Patchstack، الجدار الذي يعمل داخل PHP لا يمنع هذا الطلب تحديداً. الحماية الفعالة هي التحديث ثم منع الوصول إلى wp-content/upgrade/ من إعدادات السيرفر.
س: هل هناك استغلال فعلي لهذه الثغرات؟
ج: لم يُعلن عن استغلال فعلي حتى تاريخ كتابة المقال في 29 أكتوبر 2026. ويبقى التحديث الفوري هو التصرف الصحيح.
الخلاصة
ووردبريس 7.1.4 يسد 22 ثغرة، أخطرها تنفيذ كود أثناء نافذة الترقية دون حساب، وأغلب البقية تحتاج حساب Contributor فأعلى. حدّث كل مواقعك، واقفل مجلد wp-content/upgrade/، وراجع قائمة المستخدمين.
ابدأ بأقدم موقع عندك، لأنه غالباً الأقل متابعة. ولو عندك مواقع عملاء كتير ومش عارف تبدأ منين، احجز جلسة واحنا نرتبها معاك احجز استشارة مجانية.
مراجع إضافية: Version 7.1.4 – WordPress Documentation، WordPress 7.1.4 Security Release – Patchstack
مرجع المقال (بالإنجليزية): WordPress 7.1.4
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.
