هشدار فوری Cloudflare درباره آسیب پذیری وردپرس

اگر سایت وردپرسی دارید، این خبر را باید جدی بگیرید ! Cloudflare به‌تازگی درباره دو آسیب پذیری مهم و خطرناک در وردپرس هشدار داده و برای آن‌ها Rule های محافظتی جدید در WAF منتشر کرده است.

+ بررسی امنیتی و آسیب پذیری وردپرس 7.0.2

این دو باگ امنیتی، یکی از نوع SQL Injection و دیگری از نوع Remote Code Execution است؛ یعنی در بدترین حالت، مهاجم می‌تواند به داده‌های سایت شما دسترسی پیدا کند یا حتی کد دلخواه خود را روی سرور اجرا کند.

نکته مهم اینجاست:

• این فقط یک هشدار تئوریک نیست.

Cloudflare اعلام کرده که این قوانین حفاظتی را برای همه مشتریان خود فعال کرده است، اما در عین حال تأکید می‌کند که این محافظت‌ها جایگزین بروزرسانی وردپرس نیستند.

‌

آسیب پذیری وردپرس در نسخه های اخیر دقیقاً چه بوده ؟

Cloudflare در گزارش خود دو آسیب پذیری را معرفی کرده است:

1 – CVE-2026-60137 — SQL Injection

این آسیب پذیری در نسخه‌های 6.8 و بالاتر وردپرس وجود دارد . در این حالت، ورودی‌های دستکاری‌شده می‌توانند باعث تغییر در کوئری‌های دیتابیس شوند.

نتیجه احتمالی :

• افشای داده‌های حساس
• تغییر اطلاعات پایگاه داده
• دسترسی غیرمجاز به اطلاعات سایت
• زمینه‌سازی برای حملات بعدی

2 – CVE-2026-63030 — Unauthenticated Remote Code Execution

این آسیب پذیری در نسخه‌های 6.9 و بالاتر دیده می‌شود و از طریق batch endpoint در REST API قابل سوءاستفاده است، به‌خصوص زمانی که persistent object cache فعال نباشد. این آسیب‌پذیری از نوع Critical است و بدترین بخش ماجرا این است که:

• نیاز به لاگین ندارد
• نیاز به تعامل کاربر ندارد
• می‌تواند منجر به اجرای کد روی سیستم شود

Cloudflare این آسیب پذیری را به SQLi قبلی مرتبط دانسته است.

‌

کدام نسخه های وردپرس در خطرند ؟

طبق اطلاعات منتشرشده:

• نسخه‌های قبل از 6.8 تحت تأثیر این باگ‌ها نیستند
• 6.8 و بالاتر در معرض SQL Injection هستند
• 6.9 و بالاتر علاوه بر SQLi، در معرض RCE هم قرار دارند

نسخه‌های اصلاح‌شده‌ای که وردپرس منتشر کرده:

• 7.0.2
• 6.9.5
• 6.8.6
• 7.1 Beta 2

اگر سایت شما روی یکی از نسخه‌های آسیب‌پذیر است، نباید منتظر بمانید. این نوع باگ‌ها معمولاً خیلی سریع توسط مهاجمان اسکن و هدف‌گیری می‌شوند.

+ آرشیو نسخه های قدیمی تر وردپرس

‌

Cloudflare چه کاری انجام داده است ؟

Cloudflare برای هر دو آسیب پذیری، Rule های جدید WAF منتشر کرده تا درخواست‌های مشکوک را شناسایی و مسدود کند.

Rule های مربوط به آسیب پذیری ها

Cloudflare اعلام کرده:

• مشتریان Pro / Business / Enterprise باید Managed Rules را فعال کنند
• کاربران Free به‌صورت خودکار از Free Ruleset محافظت می‌شوند
• Ruleها به‌صورت پیش‌فرض روی Block تنظیم شده‌اند

• اما یک نکته مهم وجود دارد :

اگر در سطح Ruleset، تنظیمات شما طوری باشد که همه Ruleها از Block به Log تغییر کرده باشند، باید این مورد را بررسی کنید. چون در این حالت، محافظت واقعی انجام نمی‌شود و فقط لاگ ثبت می‌شود.

‌

آیا WAF جای آپدیت را می‌گیرد ؟

خیر. و این مهم‌ترین نکته مقاله است. Cloudflare خودش هم تأکید کرده که این Rule ها فقط یک لایه از Defense in Depth هستند. یعنی چه؟

یعنی WAF می‌تواند :

• حمله را شناسایی کند
• درخواست مخرب را بلاک کند
• ریسک را تا زمان آپدیت کاهش دهد

اما نمی‌تواند :

• باگ اصلی را از هسته وردپرس حذف کند
• کد آسیب پذیر را اصلاح کند
• امنیت دائمی ایجاد کند

پس اگر فقط به WAF تکیه کنید و وردپرس را آپدیت نکنید، هنوز روی یک سیستم آسیب پذیر کار می‌کنید. نتیجه روشن است : WAF یک سپر موقت است، نه درمان نهایی.

‌

مدیران سایت های وردپرسی الان چه کار کنند ؟

اگر سایت وردپرسی دارید، همین حالا این چک‌لیست را انجام دهید:

1) نسخه وردپرس را بررسی کنید

ببینید سایت شما روی کدام نسخه اجرا می‌شود. اگر نسخه شما 6.8 به بالا است، باید وضعیت را فوری بررسی کنید.

2) به نسخه امن ارتقا دهید

نسخه‌های اصلاح‌شده عبارت‌اند از :

• 7.0.2
• 6.9.5
• 6.8.6

اگر امکان ارتقا دارید، این کار را بدون تأخیر انجام دهید.

‌ + دانلود آخرین نسخه وردپرس – فارسی
+ دانلود آخرین نسخه WordPress – انگلیسی

3) وضعیت WAF را بررسی کنید

اگر از Cloudflare استفاده می‌کنید :

• مطمئن شوید Managed Rules فعال است
• Rule های جدید را روی حالت Block نگه دارید
• Override های احتمالی را بررسی کنید
• Security Events را برای الگوهای مشکوک مانیتور کنید

4) لاگ ها را بررسی کنید

درخواست هایی که به REST API و به‌خصوص endpoint های مرتبط با batch می رسند را بررسی کنید. هر رفتار غیر عادی می‌تواند نشانه تلاش برای سوءاستفاده باشد .

5) اگر آپدیت فوری ممکن نیست

تا زمان بروزرسانی:

• WAF را فعال نگه دارید
• از تنظیمات محافظتی Cloudflare استفاده کنید
• ترافیک مشکوک را جدی بگیرید
• دسترسی‌های غیرضروری را محدود کنید

‌

چرا این هشدار مهم است ؟

چون این بار با یک هشدار معمولی طرف نیستیم. اینجا صحبت از دو لایه حمله است :

• یکی برای دستکاری دیتابیس
• یکی برای اجرای کد از راه دور

یعنی مهاجم فقط دنبال خرابکاری سطحی نیست، او می‌تواند به‌دنبال کنترل واقعی سایت باشد. به همین دلیل، این خبر برای مدیران سایت، توسعه‌دهندگان و تیم‌های امنیتی یک پیام روشن دارد : آپدیت امروز، از بحران فردا جلوگیری می‌کند.

‌

جمع‌بندی

Cloudflare با انتشار Rule های جدید WAF تلاش کرده تا پیش از فراگیر شدن حملات، یک لایه دفاعی فوری برای کاربران وردپرس ایجاد کند. اما این محافظت فقط یک راه‌حل موقت است. اگر سایت شما روی نسخه های آسیب پذیر وردپرس قرار دارد :

• همین حالا نسخه را بررسی کنید
• به نسخه امن ارتقا دهید – بروزرسانی دستی وردپرس
• روی WAF به‌عنوان راه‌حل نهایی حساب نکنید

امنیت واقعی از آپدیت شروع می‌شود، نه از امید بستن به فایروال.

منبع محتوا : WordPress + CloudFlare