لو متجرك بيقبل الدفع عن طريق Stripe، الموضوع ده مش مستني لبكرة. فريق WooCommerce نزّل تحديث أمني لإضافة Stripe بيقفل ثغرات ممكن تسمح بـ مشتريات احتيالية، وده بالظبط قبل موسم الجمعة البيضاء ونهاية السنة.
الكلام هنا للسوق العربي بشكل عام: Stripe بيستخدمه غالبًا المتاجر المسجّلة في الإمارات أو اللي ليها شركة برّه المنطقة. ولو بتبني متاجر لعملاء، افتكر إن كل متجر لازم يتراجع لوحده.
الإصدار الذي تحتاجه
حدّث إضافة WooCommerce Stripe Gateway (تظهر أيضًا باسم Stripe for WooCommerce) إلى الإصدار 11.2.0. ولو متجرك مضطر يبقى على فرع 11.1.x لأي سبب توافق، فالإصدار المُصلح عليه هو 11.1.2.
الإصلاحات طُبقت على الفرعين عمدًا، حتى لا يضطر تاجر لقفزة إصدار كبيرة قبل أكثر فترات السنة ازدحامًا. وتقول WooCommerce إنه لا يوجد دليل على استغلال هذه الثغرات حتى تاريخ الإعلان (11 نوفمبر 2026).
تحذير: الإصداران 11.2.0 و11.1.2 يحتاجان ووردبريس 6.9 وWooCommerce 11.0 على الأقل. لو متجرك أقدم، حدّث النواة وووكومرس أولًا على نسخة تجريبية (staging)، ثم حدّث الإضافة.
ماذا تصلح التحديثات؟
الإعلان الرسمي لا يفصّل كل ثغرة، ويذكر أنها اكتُشفت بالفحص الداخلي لدى Automattic ومن بلاغات وصلتها. الأخطر بينها قد يسمح بـمشتريات احتيالية، يعني طلبات تبدو مدفوعة أو تمر دون دفع صحيح.
ولماذا يهمك هذا ماليًا؟ الطلب الاحتيالي على بوابة الدفع (Payment Gateway) لا يكلّفك قيمة المنتج فقط: لو انتهى بـ استرداد قسري (Chargeback) تخسر المبلغ والبضاعة، وغالبًا رسوم نزاع فوقهما. أما التحديث نفسه فمجاني ويأخذ دقائق.
مشكلة كلمات المرور في الإصدار 10.9.0
الجزء الذي فصّله الإعلان هو خلل قديم: الإصدار 10.9.0 كان يحفظ كلمة مرور الحساب الجديد للعميل نصًا صريحًا داخل بيانات الطلب الوصفية (Order Meta)، لكن فقط عند اجتماع ثلاثة شروط:
| الشرط | التفاصيل |
|---|---|
| الإصدار | WooCommerce Stripe Gateway 10.9.0 تحديدًا |
| شكل صفحة الدفع | صفحة الدفع (Checkout) الكلاسيكية مع أزرار الدفع السريع (Express Checkout) من Stripe |
| سلوك العميل | أنشأ حسابًا بكلمة مرور أثناء الدفع ودفع عبر Apple Pay أو Google Pay |
هذه الكلمات كانت مرئية لمديري المتجر ومديري الطلبات من شاشة تفاصيل الطلب، وعبر WP-CLI وREST API وأي أداة تقرأ بيانات الطلبات. WooCommerce تقول إنها لا تستطيع تحديد ما إذا كان أحد قد رآها.
الإصدار 10.9.1 أوقف حفظ كلمات جديدة بهذه الطريقة، ومن الإصدار 11.1.0 تحذف الإضافة الكلمات المخزنة سابقًا في الخلفية بعد التحديث. لو وجدت شيئًا وحذفته، تعرض تنبيهًا في لوحة التحكم وترسل بريدًا لمدير الموقع، فيه عدد الحسابات التي ما زالت تستخدم كلمة مرور من البيانات المحذوفة. التنظيف لا يغيّر كلمات المرور ولا يعيد ضبطها.
ما المطلوب منك لو انطبقت الشروط؟
التنظيف يمسح قاعدة البيانات الحية فقط، لا النسخ التي خرجت منها. راجع بنفسك، حتى لو لم يصلك أي بريد:
- النسخ الاحتياطية لقاعدة البيانات، المحلية وعند الاستضافة.
- ملفات تصدير الطلبات (CSV) التي أرسلتها لمحاسب أو لشركة شحن.
- الخدمات التي تزامن بيانات الطلبات: أنظمة ERP، أدوات CRM، جداول Google Sheets المرتبطة.
ثم فكّر في مراسلة العملاء المتأثرين وطلب تغيير كلمة المرور في متجرك، وفي أي مكان آخر استخدموا فيه نفس الكلمة.
خطوات التحديث
Stripe for WooCommerce
خطة تحديث متجرك اليوم
افحص المتطلبات
الإصدارات الجديدة تحتاج WordPress 6.9 وWooCommerce 11.0.
حدّث إلى 11.2.0
أو 11.1.2 إن كان متجرك ملتزمًا بفرع 11.1.x.
تأكد من رقم الإصدار
من Installed Plugins حتى لو التحديث التلقائي مفعّل.
راجع كلمات المرور المخزنة
لو كنت على 10.9.0: النسخ الاحتياطية والتصديرات وأدوات المزامنة.
التحديث العادي إلى 11.2.0:
- من لوحة التحكم افتح Plugins ← Installed Plugins، وابحث عن WooCommerce Stripe Gateway.
- اضغط Update Now عندما يعرض ووردبريس الإصدار 11.2.0 أو أحدث.
- ارجع لنفس الشاشة وتأكد من رقم الإصدار المثبّت. افعل ذلك حتى لو التحديث التلقائي مفعّل أو الاستضافة تدير التحديثات.
البقاء على فرع 11.1.x (الإصدار 11.1.2):
- افتح قسم Previous Versions في صفحة الإضافة على دليل WordPress.org، واختر 11.1.2 من القائمة ونزّل الملف. التحذير الظاهر هناك عن الإصدارات القديمة تحذير قياسي يظهر لكل الإصدارات.
- في متجرك افتح Plugins ← Add New Plugin واضغط Upload Plugin.
- ارفع ملف zip. سيظهر تنبيه أن الإضافة مثبتة بالفعل؛ تأكد أن الإصدار الحالي أقدم من 11.1.2 ثم اضغط Replace current with uploaded.
- ارجع إلى Installed Plugins وتأكد من الإصدار.
ملاحظة: لو فشل التحديث أو لم يظهر، تواصل مع دعم WooCommerce واذكر رقم الإصدار المثبّت ونص الخطأ كما ظهر.
للمستقلين والوكالات: كل موقع على حدة
تحديث متجر واحد لا يثبت شيئًا عن الباقي. افحص الإصدار على كل موقع تديره، بما فيها مواقع staging والتطوير المتاحة على الإنترنت، فهذه كثيرًا ما تُنسى وتبقى بإصدار قديم.
احتفظ بجدول بسيط: اسم الموقع، الإصدار قبل وبعد، وتاريخ الفحص. والمتاجر التي تديرها استضافة أو مطور آخر، اطلب منهم رقم الإصدار كتابةً بدل افتراض أنه حُدِّث.
في ووردبريس: لو تدير عددًا كبيرًا من المواقع عبر SSH، أمر WP-CLI مثل wp plugin list --name=woocommerce-gateway-stripe --fields=name,version يعطيك الإصدار في ثانية لكل موقع، بدل الدخول للوحة كل متجر.
بصراحة: هذا المقال مبني على إعلان WooCommerce الرسمي وحده، ولم نختبر التحديث على متجر حي. الإعلان لا يذكر رقم CVE ولا تفاصيل تقنية للثغرات الأخطر، فلو صدرت تفاصيل إضافية سنحدّث المقال.
اقرأ أيضًا
الأسئلة الشائعة
س: هل متجري مصاب لو كنت أستخدم Stripe؟
ج: لا يوجد دليل على استغلال الثغرات حتى الآن حسب WooCommerce، لكن كل إصدار أقدم من 11.2.0 أو 11.1.2 يحمل الثغرات. الحل الوحيد هو التحديث.
س: التحديث التلقائي مفعّل عندي، هل يكفي؟
ج: لا تفترض ذلك. افتح Installed Plugins وتأكد من رقم الإصدار بنفسك، خصوصًا أن الإصدار الجديد يحتاج ووردبريس 6.9 وWooCommerce 11.0، وقد يتوقف التحديث التلقائي لو المتطلبات غير متوفرة.
س: هل يجب أن أعيد ضبط كلمات مرور العملاء؟
ج: فقط لو كان متجرك على الإصدار 10.9.0 مع صفحة الدفع الكلاسيكية وأزرار Apple Pay أو Google Pay. في هذه الحالة يُنصح بمراسلة العملاء المتأثرين لتغيير كلماتهم.
س: لماذا لا أحدّث مباشرة إلى 11.2.0 بدل 11.1.2؟
ج: 11.2.0 هو الخيار الموصى به. الإصدار 11.1.2 موجود فقط للمتاجر التي لديها سبب توافق يمنعها من الخروج من فرع 11.1.x قبل موسم التخفيضات.
الخلاصة
الخلاصة السريعة: حدّث Stripe لـ 11.2.0 النهارده، اتأكد من رقم الإصدار بإيدك، ولو كنت على 10.9.0 راجع النسخ الاحتياطية والتصديرات. ولو بتدير متاجر لعملاء، اعمل الجولة على كل المواقع، والـ staging قبل أي حاجة.
مرجع المقال (بالإنجليزية): Security fix for WooCommerce Stripe Gateway: update to 11.2.0 or 11.1.2
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.
