تحديثات أمان ووكومرس الجديدة: ما الذي تغيّر وماذا تفعل؟

لو عندك متجر ووكومرس (WooCommerce) في مصر أو الخليج، أكيد لاحظت إن تنبيهات «تحديث أمني» بقت بتنزل كل كام يوم. ده مش علامة إن ووكومرس بقى أضعف، بالعكس. فريق ووكومرس نشر في 6 نوفمبر 2026 شرحاً لما يحدث، والخلاصة إن المطلوب منك أربع حاجات بسيطة لو عملتها مش هتقلق تاني.

الخلاصة السريعة: حدّث إلى ووكومرس 11.2.2 أو أحدث، راجع إصدار WooPayments، اربط متجرك بحساب WooCommerce.com باشتراك فعّال، وتأكد أن إصدار PHP على الاستضافة 8.1 على الأقل قبل فبراير 2027.

بصراحة: هذا المقال قراءة لما نشره فريق ووكومرس نفسه في ثلاث تدوينات رسمية، وليس نتيجة اختبار على متجر حي.

لماذا كثرت تحديثات الأمان فجأة؟

السبب المباشر أن أدوات الذكاء الاصطناعي جعلت اكتشاف الثغرات الأمنية (Vulnerabilities) أسهل بكثير، للباحثين وللفريق نفسه. بحسب ووكومرس، تضاعفت البلاغات الواردة عن منتجاتها عبر برنامج مكافآت اكتشاف الثغرات (Bug Bounty Program) لدى Automattic على HackerOne قرابة تسع مرات خلال عام واحد.

ارتفع كذلك عدد البلاغات المكررة، وهذا يعني أن كثيرين يوجّهون أدوات متشابهة إلى الكود المفتوح نفسه فيجدون الشيء نفسه. ووردبريس نفسها أطلقت في أغسطس مبادرة لأمان النواة لنفس السبب.

الخبر المطمئن: نحو ثلاثة أرباع المشكلات الصحيحة التي تتبّعها الفريق في نواة ووكومرس منذ يوليو مصنفة متوسطة أو منخفضة الخطورة. أي أنها تحتاج ظروفاً خاصة لاستغلالها، أو أن أثرها محدود.

ووكومرس صار يبحث عن ثغراته قبل أن يبلّغ عنها أحد

التغيير الأهم أن العمل الأمني تحوّل من ردّ الفعل إلى البحث المسبق. هذا ما ذكره الفريق بالأرقام:

حسب الفريق، صارت فحوصاته الداخلية تكتشف أكثر من ضعف ما تكشفه البلاغات الخارجية من ثغرات النواة الصحيحة. البلاغات تمر أولاً بفرز آلي، لكن البشر هم من يحددون الخطورة ويراجعون كل إصلاح قبل نشره.

ملاحظة: لا تفهم من ذلك أن «الذكاء الاصطناعي يصلح كل شيء». الفريق نفسه يقول إن كل فحص جديد يكشف أشياء لم يكشفها الذي قبله، ولهذا الفحص مستمر.

السياسة الجديدة: الإصلاحات الأمنية في إصدارات مستقلة

حتى الصيف كانت الإصلاحات الأمنية تُدمج غالباً مع الإصدارات العادية. المشكلة أن أي خلل في ميزة جديدة كان يجبر صاحب المتجر على الرجوع للإصدار السابق، فيخسر الإصلاح الأمني معه، رغم أن الثغرة صارت معلنة.

القاعدة الافتراضية الآن:

• الثغرات الحرجة والعالية: تصدر في أول إصدار ترقيعي (Patch) على الإصدار الحالي.
• الثغرات المتوسطة والمنخفضة: تصدر في الإصدار الترقيعي الذي يلي الإصدار الفرعي القادم.

ووكومرس 11.2.2 هو أول إصدار أمني (Security Release) بهذه الطريقة، ويليه 11.3.1 بعد 11.3.0. أما الإصدارات الرئيسية الأقدم فلا تحصل إلا على أخطر الإصلاحات، وفق سياسة دعم الإصلاحات الأمنية الخاصة بووكومرس، والباقي يصدر في أحدث إصدار فقط.

ماذا يحتوي ووكومرس 11.2.2؟

صدر في 4 نوفمبر 2026، ويتضمن تحديثاً لقاعدة البيانات. أبرز ما فيه:

• تشديد واجهة Store API (الواجهة التي تخدم السلة وصفحة الدفع المبنية بالبلوكات) في كميات عناصر السلة، وفي حساب الضريبة عند الاستلام من الفرع.
• تشديد مصادقة مفاتيح REST API، والتحقق من ربط أعمدة ملفات CSV عند استيراد المنتجات.
• إيقاف عملية الدفع عبر Store API إذا فشل حفظ الطلب، بدل الانتقال إلى الدفع بطلب محفوظ جزئياً.
• إصلاح تحديث عنوان الشحن في PayPal Standard ليُعاد حساب الشحن والضريبة بشكل صحيح.

تحذير: للمطورين تحديداً تغييران قد يكسران شيئاً. أولاً، إذا رمت إضافة استثناءً (exception) داخل woocommerce_before_order_object_save أو woocommerce_new_order أو woocommerce_update_order أثناء الدفع عبر Store API، فالنتيجة الآن خطأ 500 بدل طلب ناقص. ثانياً، نقطتا الاتصال onboarding/plugins/jetpack-authorization-url و plugins/connect-jetpack صارتا تتطلبان جلسة مدير في المتصفح، فالطلبات عبر مفاتيح REST API أو WP-CLI أو Application Passwords ترجع 403.

التحديثات الأمنية «المطلوبة» تُثبَّت تلقائياً

هذه أهم ميزة لصاحب المتجر. بدءاً من ووكومرس 11.2 يستطيع WooCommerce.com وسم الإصدار الأمني لإضافة ما بأنه «مطلوب». المتجر المربوط بحساب WooCommerce.com باشتراك فعّال يثبّته عند أول فحص للتحديثات، عادة خلال يوم، حتى لو كانت التحديثات التلقائية معطّلة.

الفريق شرح الدافع بمثال: في أغسطس أصلح ثغرة في WooCommerce Subscriptions خلال ثمانية أيام من اكتشافها، لكن لم تكن هناك وسيلة لإيصال الإصلاح للمتاجر التي لا تتحدّث تلقائياً. الآن صارت هناك وسيلة.

شروط الاستفادة:

• الإضافة مشتراة من متجر WooCommerce Marketplace الرسمي.
• المتجر مربوط بـ WooCommerce.com والاشتراك ما زال فعّالاً.
• المتجر لم يمنع التحديثات التلقائية برمجياً؛ هذا المنع ما زال محترماً.

ملاحظة: في السوق العربي يشتري كثيرون إضافات ووكومرس المدفوعة من مواقع «GPL» أو نسخ غير رسمية. هذه النسخ لن تصلها التحديثات المطلوبة تلقائياً، وغالباً تتأخر عنها التحديثات العادية أيضاً. هنا يظهر فرق السعر الحقيقي: الاشتراك الرسمي يشتري لك وصول الإصلاح الأمني بنفسه.

WooPayments: تحقق من إصدارك يدوياً

في 3 نوفمبر 2026 صدر تحديث أمني لـ WooPayments يخص وظائف الاشتراكات المدمجة فيه، استكمالاً لإصلاح أُعلن في أغسطس. هناك إصدار مُصلَح لكل خط إصدار تقريباً، على سبيل المثال:

الجدول الكامل في تدوينة ووكومرس الرسمية المذكورة في المراجع. افتح الإضافات (Plugins > Installed Plugins) وقارن رقم WooPayments عندك بخط إصدارك، ثم أعد فحص الرقم بعد التحديث.

ملاحظة: WooPayments لا يعمل إلا في الدول التي يدعمها رسمياً، وكثير من متاجر مصر والخليج تعتمد على بوابات محلية مثل Paymob في مصر أو Tap و Moyasar في الخليج. إن لم تكن تستخدم WooPayments فهذه الفقرة لا تخصك، لكن بقية القائمة تخصك.

إصدار PHP جزء من أمان متجرك

ثغرات PHP التي صدرت لها إصلاحات في أكتوبر أصابت كل خادم يشغّل PHP، ولا يستطيع أي تحديث لووكومرس إصلاحها؛ الاستضافة هي من يجب أن تتحرك.

الجدول الزمني الذي أعلنه ووكومرس:

• إصدارات PHP الأقدم من 8.2 لم تعد تتلقى تحديثات أمنية من مشروع PHP.
• ووكومرس 11.3 يعرض تنبيهاً في لوحة التحكم للمتاجر على PHP 7.4 و 8.0.
• ووكومرس 11.5 هو آخر إصدار يدعمهما.
• ووكومرس 11.6 (فبراير 2027) يتطلب PHP 8.1 أو أحدث، والتوصية 8.3 أو أحدث.

افحص إصدارك من Tools > Site Health > Info > Server. وإن كنت تدير مواقع عملاء كثيرة عبر SSH، فهذه أوامر WP-CLI سريعة لمعرفة الإصدارات:

wp eval 'echo PHP_VERSION . PHP_EOL;'
wp plugin get woocommerce --field=version
wp plugin get woocommerce-payments --field=version

في ووردبريس: كثير من الاستضافات المشتركة في المنطقة تترك PHP على إصدار قديم ما لم تغيّره بنفسك من لوحة التحكم. اسأل الدعم صراحة: هل طبّقتم آخر تحديثات PHP الأمنية على الإصدار الذي يعمل عليه موقعي؟

قائمة التحقق: ماذا تفعل هذا الأسبوع؟

القرار بحسب وضعك:

• صاحب متجر واحد: حدّث، اربط المتجر بـ WooCommerce.com، وافحص PHP. ثلاث خطوات في أقل من ساعة.
• فريلانسر أو وكالة تدير متاجر عملاء: سجّل في جدول إصدار ووكومرس و WooPayments و PHP لكل موقع، بما فيها كل بيئة اختبار (Staging) مكشوفة للعامة. تحديث موقع واحد لا يخبرك شيئاً عن الباقي.
• مطوّر إضافات: افحص كودك قبل أن يفحصه غيرك، وجرّب إضافتك على الإصدارات التجريبية (Release Candidates) لووكومرس وووردبريس، فووردبريس 7.2 Beta 4 متاح حالياً بحسب ووكومرس.

وإن وجدت ثغرة بنفسك، أبلغ عنها بشكل خاص عبر برنامج Automattic على HackerOne، لا في تذكرة عامة على GitHub.

الأسئلة الشائعة

س: هل كثرة تحديثات ووكومرس تعني أنه غير آمن؟
ج: لا. الكود المفتوح يفحصه عدد أكبر من الناس والأدوات، فتُكتشف الثغرات وتُغلق علناً. وأغلب ما اكتُشف منذ يوليو متوسط أو منخفض الخطورة بحسب الفريق.

س: هل يُحدَّث متجري تلقائياً حتى لو أوقفت التحديث التلقائي؟
ج: إضافات WooCommerce Marketplace فقط، وبشرط ربط المتجر بـ WooCommerce.com واشتراك فعّال، وأن تكون على ووكومرس 11.2 أو أحدث. المنع البرمجي للتحديثات ما زال يعمل.

س: ما أقل إصدار PHP أحتاجه لووكومرس؟
ج: حتى ووكومرس 11.5 ما زال PHP 7.4 مدعوماً، لكن ووكومرس 11.6 في فبراير 2027 يتطلب 8.1 على الأقل. الأفضل الانتقال إلى 8.3 أو أحدث الآن.

س: هل تحديث 11.2.2 قد يكسر إضافة عندي؟
ج: وارد إذا كانت إضافة ترمي استثناءً أثناء حفظ الطلب في صفحة الدفع، أو تستدعي نقطتي اتصال Jetpack الإداريتين بمفاتيح REST API. جرّبه على بيئة الاختبار أولاً إن كان متجرك يعتمد على إضافات دفع أو شحن مخصصة.

الخلاصة

ووكومرس غيّر طريقة تعامله مع الأمان: فحص مستمر بالذكاء الاصطناعي، وإصدارات أمنية مستقلة، وتثبيت تلقائي للإصلاحات المطلوبة على المتاجر المربوطة. دورك أنت بسيط: حدّث، اربط، وافحص PHP.

خصّص نص ساعة النهارده لقائمة التحقق فوق، ولو بتدير متاجر عملاء، اعمل الجدول مرة واحدة وراجعه مع كل تحديث أمني جديد.

مراجع إضافية: WooCommerce 11.2.2: Release notes، Security update for WooPayments

مرجع المقال (بالإنجليزية): We went looking: what Woo has done about security since June
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.