تم اكتشاف ثغرة أمنية خطيرة في نظام التشغيل Windows 10 المستخدم على نطاق واسع WordPress المكون الإضافي Forminator، يضع أكثر من 600,000 مستخدم نشط WordPress المواقع المعرضة للخطر. الخلل، تم الكشف عنها من قبل باحثي الأمن في Wordfence في 2 يوليو 2025يسمح للمهاجمين المعتمدين بحذف ملفات عشوائية على الخادم.
ما هي الثغرة الأمنية في Forminator Plugin؟
تؤثر الثغرة على إصدارات Forminator قبل 1.29.3. Forminator هو إضافة شائعة تُستخدم لإنشاء نماذج الاتصال والاستطلاعات والاختبارات القصيرة واستطلاعات الرأي على WordPress المواقع. بسبب عدم التحقق من صحة الإدخالات في ميزة تحميل الملفات، يمكن للمهاجمين الذين يتمتعون بصلاحيات وصول المشترك أو أعلى التلاعب بالطلبات وإصدار تعليمات للمكون الإضافي بحذف أي ملف على الخادم يمكن لمستخدم خادم الويب الوصول إليه.
وهذا يعني أن الحرجة WordPress قد يتم إزالة الملفات الأساسية أو السمات أو المكونات الإضافية، مما يؤدي إلى تعطل الموقع أو إزالة الموقع بالكامل.
كيف يعمل الهجوم؟
يحتاج المهاجم أولاً إلى الوصول إلى أي حساب مستخدم صالح على شبكة معرضة للخطر WordPress الموقع. بمجرد المصادقة، يمكنهم إنشاء طلبات ضارة مستغلين آلية حذف الملفات غير الآمنة في نقطة تحميل Forminator. نظرًا لأن العديد WordPress على الرغم من أن المواقع الإلكترونية تسمح بتسجيل المستخدمين (مثل العضوية، أو نظام إدارة التعلم، أو مواقع المجتمع)، إلا أن حساب المشترك يكفي لشن هجوم.
من هو المتأثر؟
اي WordPress الموقع الذي يعمل بنظام Forminator بإصدارات أقدم من 1.29.3 معرض للخطر.
ووفقاً لوكالة WordPress.org، يوجد لدى Forminator أكثر من 600,000 عملية تثبيت نشطة، مما يعني أن عددًا كبيرًا من مواقع الويب تظل معرضة للخطر إذا لم يتم تحديثها.
تتعرض مواقع الويب التي تسمح بتسجيل المستخدمين لمخاطر خاصة لأن المهاجمين يمكنهم ببساطة إنشاء حساب واستغلال الثغرة الأمنية دون الحاجة إلى امتيازات المسؤول.
منح Wordfence جائزة مكافأة الأخطاء القياسية
تقديرًا لخطورة هذا الخلل، منحت شركة Wordfence أكبر مكافأة لها على الإطلاق: 8,100 دولار أمريكي. دُفعت هذه المكافأة للباحث الذي كشف عن الثغرة بمسؤولية من خلال برنامج مكافآت الأخطاء في Wordfence. ووفقًا لـ Wordfence، يُعد هذا أعلى مبلغ مكافأة يُمنح في تاريخ البرنامج.
إن الدفع غير المسبوق يؤكد الطبيعة الحرجة للثغرة الأمنية - ويسلط الضوء على أهمية برامج الإفصاح المسؤولة في الحفاظ على WordPress نظام بيئي آمن.
ماذا ينبغي لأصحاب المواقع أن يفعلوا؟
توصي Wordfence بأن يكون الجميع WordPress على مالكي المواقع الذين يستخدمون Forminator التحديث فورًا إلى الإصدار المُصحَّح 1.29.3 أو أحدث. يتضمن التحديث إصلاحًا للثغرة ويمنع المهاجمين من استغلالها.
بالإضافة إلى التحديث، ينبغي على أصحاب المواقع القيام بما يلي:
- مراجعة حسابات المستخدم: قم بمراجعة جميع تسجيلات المستخدمين بحثًا عن الحسابات المشبوهة أو غير المتوقعة.
- صلب WordPress الأمن: قم بتعطيل تسجيل المستخدم غير الضروري أو تقييده باستخدام أدوات مثل CAPTCHA أو التحقق من البريد الإلكتروني.
- استخدم مكون إضافي للأمان: قم بتنفيذ جدار حماية مثل Wordfence أو حلول مماثلة لمنع حركة المرور الضارة بشكل استباقي.
هل تم استغلال الثغرة الأمنية؟
في وقت صدور تقرير Wordfence، لم يكن هناك أي دليل علني على انتشار الاستغلال. ومع ذلك، نظرًا لبساطة الهجوم وسهولة الوصول إلى مستوى المشترك، فقد تبدأ عمليات الاستغلال النشطة في أي وقت.
الخلاصة
تُعد هذه الثغرة الأمنية في Forminator بمثابة تذكير صارخ بأهمية الصيانة الاستباقية لموقع الويب والأمان. WordPress يمكن للإضافات أن تُضيف وظائف رائعة إلى موقعك، ولكنها قد تُسبب أيضًا مخاطر جسيمة إذا لم تُحدّث باستمرار. إضافة واحدة قديمة قد تُتيح للمهاجمين فرصة اختراق موقعك بالكامل، أو الإضرار بسمعتك، أو حتى مسح بياناتك.
At HostScore.netنوصي بشدة ليس فقط بتحديث مكوناتك الإضافية بانتظام، بل أيضًا باستثمار الوقت في فهم الميزات والحماية التي يوفرها موفر الاستضافة للحفاظ على أمان موقعك الإلكتروني. متقدم DDoS الحماية إلى مسح البرامج الضارةغالبًا ما تأتي خطط الاستضافة الحديثة مزودة بميزات أمان يمكن أن تحدث فرقًا كبيرًا عند ظهور نقاط ضعف مثل هذه.
هل ترغب في معرفة كيفية حماية موقعك بشكل أفضل؟ اطلع على دليلنا المفصل. حماية مواقعك: ميزات أمان استضافة الويب الأساسية التي تحتاج إلى معرفتهاإنه يغطي أدوات وممارسات الأمان الرئيسية التي يجب أن يمتلكها كل مالك موقع ويب للبقاء في صدارة التهديدات المحتملة.
