ثغرة حرجة في Elementor Pro: حدّث فوراً إلى 4.2.2

فيه فكرة غلط منتشرة إن اللي بيخترق المواقع الكبيرة بيستخدم ثغرات سرية ومعقدة. الحقيقة أبسط وأسوأ: أغلب الاختراقات بتحصل على مواقع متأخرة في التحديثات، بثغرة معلنة ومنشورة ومكتوب عنها تقرير كامل. والحالة اللي قدامنا دلوقتي بتخص ووردبريس لتضيف له ميزة جديدة، مثل متجر أو نموذج تواصل أو تحسين للسيو، دون كتابة كود. اختر الإضافات الموثوقة المحدّثة، ولا…">الإضافة اللي شغالة على ملايين المواقع، وعلى الأغلب على موقعك أنت كمان.

ما هي الثغرة باختصار

بحسب التقرير المنشور استناداً إلى برنامج المكافآت لدى Patchstack واكتشاف الباحث Tin Pham، تحمل الثغرة المعرّف CVE-2026-32475 وتصيب كل إصدارات القالب كاملًا والنماذج والنوافذ المنبثقة.">Elementor Pro حتى 4.2.1 وتشملها، بدرجة خطورة 9.8 من 10 على مقياس CVSS، أي في أعلى تصنيف ممكن تقريباً.

تصنيفها في قائمة CWE هو CWE-434: Unrestricted Upload of File with Dangerous Type، أي رفع ملف من نوع خطر دون قيود. أثرها العملي هو تنفيذ كود عن بُعد (Remote Code Execution) من مهاجم غير مسجّل الدخول، وهذا أخطر سيناريو ممكن: لا يحتاج المهاجم حساباً ولا صلاحية ولا كلمة مرور.

تنبيه: الإصدار المصحّح هو 4.2.2 وصدر في 19 أغسطس 2026. إن كان موقعك على إصدار أقدم فهو مكشوف الآن لماسحات آلية تجوب الإنترنت بحثاً عن هذا الخلل تحديداً.

أين الخطأ بالضبط

مصدر المشكلة في وحدة رفع الملفات داخل نماذج Elementor، حيث تُنفَّذ عمليتا التحقق والمعالجة في حلقتين منفصلتين في الكود.

داخل دالة التحقق، تمرّ الإضافة على مصفوفة الملفات المرفوعة عنصراً عنصراً. وقع المطوّرون هنا في خطأ منطقي صغير وعواقبه ضخمة: عند مصادفة عنصر فارغ في بداية المصفوفة، خرجت الحلقة من الدالة بالكامل باستخدام return بدلاً من تخطّي هذا العنصر والمتابعة باستخدام continue.

النتيجة أن عملية التحقق تتوقف قبل أوانها، فتُتخطّى فحوص الامتداد ونوع الملف لبقية الملفات المرسلة في نفس الحقل. وبعد التحقق مباشرة، تنقل دالة المعالجة الملفات المتبقية إلى مجلد الرفع العام دون أن تكون قد مرّت على أي فحص.

بعبارة واحدة: سطر واحد خاطئ حوّل بوابة التحقق إلى باب مفتوح.

بصراحة: الدرس هنا ليس أن Elementor غير آمن. الدرس أن أي إضافة تتعامل مع رفع ملفات من زوار غير مسجّلين هي سطح هجوم دائم، وأن الفارق بين موقع سليم وموقع مخترق هو غالباً أسابيع من تأخير في التحديث.

من المتأثر عملياً

الموقع معرّض إذا اجتمع شرطان:

1. Elementor Pro مثبّت بإصدار 4.2.1 أو أقدم.
2. توجد صفحة عامة تحتوي نموذج Elementor فيه حقل رفع ملفات (File Upload) يمكن لأي زائر الوصول إليه.

الحالات الشائعة في المنطقة: نماذج “أرسل سيرتك الذاتية” في صفحات التوظيف، ونماذج طلب عرض سعر مع مرفقات، ونماذج الشكاوى والدعم، ونماذج رفع تصاميم أو مستندات في مواقع المطابع والخدمات.

الحالة الأخطر: ترخيص منتهٍ

كثير من مواقع الوكالات والشركات في مصر والخليج تعمل بإصدار Elementor Pro قديم لسبب إداري بحت: الترخيص السنوي انتهى ولم يُجدَّد، فتوقفت التحديثات التلقائية والموقع عالق على إصدار ما.

هذه ليست مشكلة مالية بل مشكلة أمنية مؤجلة. كل يوم تأخير في التجديد هو يوم إضافي يبقى فيه الموقع على كود معروف الخلل ومنشور تفصيلياً.

ماذا تفعل الآن: خطوات مرتّبة

1. تحقق من الإصدار. لوحة التحكم ← الإضافات ← ابحث عن Elementor Pro واقرأ الرقم. أو عبر سطر الأوامر: wp plugin list --name=elementor-pro.
2. خذ نسخة احتياطية كاملة للملفات السيرفر.">وقاعدة البيانات قبل أي تعديل.
3. حدّث إلى 4.2.2 أو أحدث. إن كان الترخيص منتهياً فجدّده أولاً.
4. اختبر على بيئة الاختبار إن كان الموقع تجارياً ولا تحتمل صفحاته أي كسر في التصميم.
5. افحص مجلد الرفع بحثاً عن ملفات PHP لا يفترض وجودها:

find wp-content/uploads -type f -name “*.php” -o -name “*.phtml”

أي نتيجة هنا تستدعي التعامل مع الموقع على أنه مخترق حتى يثبت العكس.

6. راجع حسابات الإدارة واحذف أي حساب لا تعرفه، وغيّر كلمات مرور المدراء ومفاتيح wp-config.php الأمنية (Salts).

إجراء وقائي دائم: امنع تنفيذ PHP في مجلد الرفع

هذه القاعدة تستحق التطبيق على كل موقع تديره، وليس فقط بسبب هذه الثغرة. مجلد wp-content/uploads مخصص للصور والمستندات، ولا يوجد سبب مشروع لتنفيذ سكربت PHP بداخله.

في Nginx:

# Block PHP execution inside the uploads directory

location ~* /wp-content/uploads/.*\.(php|phtml|php3|php4|php5|php7|phps)$ {

    deny all;

}

في Apache، أضف ملف .htaccess داخل wp-content/uploads:

# Block PHP execution inside the uploads directory

<FilesMatch “\.(php|phtml|php3|php4|php5|php7|phps)$”>

    Require all denied

</FilesMatch>

هذا لا يغني عن التحديث، لكنه يحوّل ثغرة رفع ملفات من كارثة كاملة إلى ملف خامل على القرص.

في Elementor: راجع كل النماذج المنشورة من Elementor ← Submissions أو من صفحات الموقع مباشرة. أي نموذج عام فيه حقل رفع ملفات وأنت غير مضطر له، احذف الحقل. وإن كنت مضطراً، قيّد الامتدادات المسموح بها في إعدادات الحقل، واجعل رفع الملفات متاحاً للمستخدمين المسجّلين فقط حيث أمكن.

الحالة التي أثارت التقرير

التقرير الأصلي وثّق حالة موقع مركز تجاري كبير في أوكرانيا (Ocean Plaza) مبني على ووردبريس وقوالب Elementor Pro. أجرت مجموعة بحث مستقلة تدقيقاً خارجياً غير تدخلي، وتبيّن أن الموقع الإنتاجي يعمل بإصدار غير محدّث من الإضافة وأن نقطة النموذج مكشوفة. لم تُنشر أي أدوات هجوم ولم تُمسّ بيانات، وأُبلغت إدارة الموقع بتقرير فني.

الدلالة أهم من الحالة نفسها: موقع مؤسسي كبير، بميزانية وفريق، ظل مكشوفاً لأسابيع بعد صدور الإصلاح. الشركات الكبيرة تؤجل التحديثات خوفاً من كسر التصميم أو تعطّل إعدادات، فتشتري راحة أسبوع بثمن اختراق محتمل.

الخلاصة

أمان أي موقع ووردبريس يُقاس بسرعة تطبيق التحديثات الحرجة أكثر مما يُقاس بعدد إضافات الحماية المثبّتة عليه. ثغرة CVE-2026-32475 مثال نموذجي: خطأ منطقي في سطر واحد، إصلاح متاح منذ أغسطس، ومواقع كثيرة ما زالت مكشوفة لأن أحداً لم يفتح لوحة التحكم.

افتح موقعك دلوقتي وبص على رقم إصدار Elementor Pro قبل ما تكمل قراءة أي حاجة تانية. لو الرقم أقل من 4.2.2، دي مهمة النهارده مش الأسبوع الجاي. ولو عندك محفظة مواقع عملاء، اعمل جرد سريع للإصدارات عند كل واحد فيهم احجز استشارة مجانية.

مرجع المقال (بالإنجليزية): Anatomy of a 1-Day Attack: Analyzing CVE-2026-32475 Exposure on a Major Corporate Platform
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.

الأسئلة الشائعة

ما الإصدارات المتأثرة بثغرة CVE-2026-32475؟

بحسب التقرير المنشور، تشمل الثغرة كل إصدارات Elementor Pro حتى 4.2.1 وتشملها، وأُصلحت في الإصدار 4.2.2 الصادر في 19 أغسطس 2026. النسخة المجانية من Elementor ليست هي المعنية هنا، لأن وحدة رفع الملفات في النماذج ميزة في النسخة المدفوعة.

كيف أعرف إن كان موقعي مصاباً؟

افتح لوحة التحكم ← الإضافات وتحقق من رقم إصدار Elementor Pro. إذا كان 4.2.1 أو أقل فالموقع معرّض. تحقق أيضاً من وجود نماذج عامة تحتوي على حقل رفع ملفات، فهي المدخل الذي تعتمد عليه الثغرة.

ترخيص Elementor Pro منتهٍ عندي ولا أستطيع التحديث، ماذا أفعل؟

هذه أخطر حالة، لأن انتهاء الترخيص يوقف التحديثات التلقائية ويترك الموقع على إصدار قديم إلى أجل غير مسمى. جدّد الترخيص، وإلى أن تفعل: احذف حقول رفع الملفات من النماذج العامة، وامنع تنفيذ ملفات PHP داخل مجلد wp-content/uploads على مستوى السيرفر.

هل يكفي جدار الحماية أو إضافة الحماية بدلاً من التحديث؟

لا. قواعد الحماية قد توقف بعض المحاولات الآلية، لكنها تعالج العرض لا السبب. الثغرة خطأ منطقي في كود التحقق نفسه، ولا يغلقه إلا التحديث إلى إصدار مصحّح.

كيف أتأكد أن الموقع لم يُخترق بالفعل؟

ابحث عن ملفات بامتداد .php داخل مجلدات wp-content/uploads، وراجع قائمة مستخدمي الإدارة بحثاً عن حسابات لا تعرفها، وافحص تواريخ تعديل الملفات الأخيرة. عند أي شك، استعد نسخة احتياطية سابقة لتاريخ الإصابة المحتمل وغيّر كل بيانات الدخول والمفاتيح.