ثغرة حرجة في إضافة "آلي" لووردبريس تهدد أكثر من ربع مليون موقع
كشف باحثون أمنيون عن ثغرة خطيرة من نوع حقن لغة الاستعلامات البنيوية في الإضافة المساعدة "آلي" لمنصة ووردبريس، وهي أداة شهيرة لتحسين إمكانية الوصول على الويب طورتها شركة إليمينتور. تُعرف الثغرة بالرقم CVE-2026-2313 وتصنف بدرجة خطورة عالية، مما يسمح للمهاجمين غير المخولين بتنفيذ أوامر استعلامات تعسفية في قواعد البيانات. تم الإبلاغ عن الثغرة بشكل مسؤول من قبل الباحث الأمني درو ويبر، مما يسلط الضوء على استمرار هذا التهديد التقليدي الذي لا يزال يشكل خطراً جسيماً على التطبيقات الإلكترونية.
توجد الثغرة تحديداً في جميع إصدارات الإضافة حتى الإصدار 4.0.3. وينبع الخلل من معالجة غير آمنة للمدخلات داخل الدالة `get_global_remediations()`، حيث يتم إدخال معامل من عنوان URL مباشرة في جملة SQL JOIN دون تنقية أو تحييد كاف. هذا القصور يفتح الباب أمام المهاجمين لحقن أكواد استعلامات خبيثة عبر عنوان URL مُعد خصيصاً. قد يؤدي الاستغلال الناجح للثغرة إلى قراءة أو تعديل أو حذف البيانات الحساسة في قاعدة بيانات ووردبريس الأساسية، مما يعرض معلومات المستخدمين وكلمات مرور المديرين للخطر دون الحاجة إلى أية أوراق اعتماد.
تمثل ثغرات حقن لغة الاستعلامات البنيوية واحدة من أقدم وأكثر فئات العيوب الأمنية شيوعاً في تطبيقات الويب، ومع ذلك لا تزال منتشرة بشكل مقلق. على الرغم من أن طرق التخفيف منها تقنياً معروفة، مثل استخدام العبارات المعدة مسبقاً والتحقق من صحة المدخلات، فإن استمرار ظهورها يكشف عن تقصير في ممارسات البرمجة الآمنة وعمليات مراجعة أمن الإضافات. بالنسبة لمديري المواقع، يعد هذا الحادث تذكيراً صارخاً بالمخاطر المصاحبة للإضافات الخارجية، والتي غالباً ما توسع نطاق الهجوم المحتمل للموقع.
نظراً لضخامة هذا الخطر الذي يؤثر على إضافة مُثبتة على أكثر من مائتين وخمسين ألف موقع، فإنه يشكل هدفاً رئيسياً لهجمات آلية واسعة النطاق. يجب على مدراء المواقع التي تستخدم إضافة "آلي" التحرك فورياً لاحتواء التهديد. الحل الأساسي هو تحديث الإضافة إلى أحدث إصدار مصحح من شركة إليمينتور، والذي يجب أن يكون الإصدار 4.0.4 أو أعلى.
حتى يتمكن المديرون من تطبيق التحديث، ينصح بإيقاف تشغيل الإضافة بشكل مؤقت إذا لم تكن ضرورية للعمل الأساسي للموقع. كما يوصى بشدة بتنفيذ جدار حماية لتطبيقات الويب كطبقة دفاع إضافية، مع التأكيد على أن هذه الإجراءات التكميلية لا تغني عن أهمية التحديث الفوري للإضافة المتأثرة.
تؤكد هذه الحادثة على الحاجة المستمرة إلى اليقظة الأمنية والترقب الدائم للتحديثات في مشهد البرمجيات المفتوحة المصدر الديناميكي. يجب على جميع أصحاب مواقع ووردبريس مراجعة قائمة إضافاتهم بانتظام، وتثبيت التحديثات الأمنية فور نشرها، واعتماد مبدأ أقل امتياز ممكن للحد من آثار أي اختراق محتمل في المستقبل.
