د ورڈپریس زیان منونکي CVE-2026-119977: هغه سایټونه چې د تازه معلوماتو په جریان کې هک شوي او څنګه خپل خوندي کړئ

د ۲۰۲۶ کال د اکتوبر په وروستیو کې، د ورڈپریس تازه کولو میکانیزم کې یو زیان منونکی وموندل شو: CVE-2026-119977 . دا بریدګر ته اجازه ورکوي چې د ننوتلو یا پټنوم پرته په سرور کې خپل سري کوډ اجرا کړي - مګر یوازې هغه وخت چې سایټ تازه کیږي. دا زیان منونکی لا دمخه په ریښتیني بریدونو کې کارول کیږي.

لاندې دا دي چې دا څنګه کار کوي، څوک اغیزمن کیږي او ستاسو د سایټ د ساتنې لپاره څه باید وشي.

په لنډه توګه زیانمننې

• څه دا ده: د بشپړ ورڈپریس کور تازه کولو پروسې کې د ریس حالت (TOCTOU ټولګي).
• شدت: CVSS 8.1 (لوړ).
• اغیزمنې نسخې: ورڈپریس ۴.۷ څخه تر ۷.۱.۳ پورې شامل دي.
• بریدګر څه ته اړتیا لري: سایټ ته یوازې HTTP لاسرسی. هیڅ تصدیق او د مدیر اقدام ته اړتیا نشته.
• استخراج: د نومبر په ۳مه، ۲۰۲۶، CISA خپل پیژندل شوي استحصال شوي زیان منونکي (KEV) کتلاګ کې زیان منونکي اضافه کړل. ورډفینس د جزیاتو افشا کیدو وروسته په لومړیو ۲۱ ساعتونو کې زیان منونکو لارو ته له ۱۸،۵۰۰ څخه ډیرې غوښتنې ثبت کړې.

برید څنګه کار کوي

د بشپړ کور تازه کولو په جریان کې، ورڈپریس لاندې کارونه کوي:

1. آرشیف د نوي نسخې سره ډاونلوډ کوي.
2. دننه یې لنډمهاله فولډر ته استخراجوي wp-content/upgrade/.
3. فایلونه په ژوندۍ سایټ کې کاپي کوي.
4. لنډمهاله فولډر ړنګوي.

ستونزه دا ده چې لنډمهاله فولډر په a کې ناست دی د وړاندوینې وړ لاره او دی د براوزر څخه د لاسرسي وړ. دننه یې د ورڈپریس بشپړ کاپي ده، په شمول د setup-config.php لګونکی.

پداسې حال کې چې تازه معلومات روان وي، بریدګر کولی شي دا انسټالر پرانیزي او له هغې څخه تیر شي. په پایله کې، دوی کولی شي ژوندی بدل کړي wp-config.php او سایټ خپل خالي ډیټابیس ته اشاره کوي. ورڈپریس بیا "انسټالیشن" وړاندې کوي - بریدګر یې بشپړوي، مدیر کیږي او په سرور کې خپل PHP کوډ چلوي.

د برید کړکۍ هغه څو ثانیې دي چې تازه معلومات یې وخت نیسي. دا په عمل کې برید کول ستونزمن کوي، مګر ډله ایز سکینرونه په دوامداره توګه زیان منونکي لارې پلټي، او د قطار کولو لپاره دقیق وخت ته انتظار باسي.

نسخه ۷.۱.۴ د لنډمهاله فولډر نوم په تصادفي ډول تنظیموي، د مستقیم لاسرسي په وړاندې محافظت زیاتوي او د لنډمهاله کاپي څخه د لیږدولو څخه ترتیب بندوي.

مهال ویش

ثابتې نسخې

دا اصلاح د هرې ملاتړ شوې څانګې ته تر ۴.۷ پورې بیرته لیږدول شوې ده. موږ سپارښتنه کوو چې وروستۍ نسخه، ۷.۱.۴ ته تازه کړئ.

د ۴.۶ او زړو نسخو حل نه دی ترلاسه شوی. دا سایټونه باید اوسني نسخې ته تازه شي یا له خدمت څخه لرې شي.

لومړی ګام. خپل د ورڈپریس نسخه وګورئ

په اډمین پینل کې: ډشبورډ → تازه معلومات . په اتوماتیک تازه معلوماتو تکیه مه کوئ - دوی ممکن نه وي چل شوي: دوی ممکن غیر فعال شي، د فایل اجازې له امله ناکام شي یا د پلگ ان لخوا له سره تنظیم شي.

د WP-CLI سره:

wp core version

که تاسو په سرور کې څو سایټونه لرئ، تاسو کولی شئ د ورڈپریس هر نصب او نسخه په دې ډول ومومئ:

find /var/www -path '*/wp-includes/version.php' -exec grep -H "wp_version =" {} \;

بدل کړئ /var/www د هغه لارښود سره چې ستاسو سایټونه پکې ژوند کوي.

دوهم ګام. د wp-content/upgrade/ ته لاسرسی بند کړئ (د VPS او وقف شوي سرورونو لپاره)

دا تر ټولو مهم اقدام دی. دا ستاسو د ورڈپریس نسخې په پام کې نیولو پرته د برید کړکۍ بندوي او په تازه معلوماتو کې مداخله نه کوي: ورڈپریس د دې فولډر سره د فایل سیسټم له لارې کار کوي، نه د ویب له لارې. دا د تازه کولو دمخه وکړئ ، ځکه چې برید دقیقا د تازه کولو پرمهال پیښیږي.

نګینکس

دا ستاسو په سایټ کې اضافه کړئ server بلاک:

location ^~ /wp-content/upgrade/ {
    deny all;
}

ترتیب ازموینه وکړئ او nginx بیا پورته کړئ:

nginx -t && systemctl reload nginx

اپاچي او لایټ سپیډ

دا په دې کې اضافه کړئ .htaccess د سایټ په روټ کې فایل، پورته معیاري # BEGIN WordPress بلاک:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>

که تاسو د اپاچي مجازی کوربه ترتیب ته لاسرسی لرئ، نو دا ډیر باوري دی چې هلته لارښود بند کړئ:

<Directory "/var/www/example.com/wp-content/upgrade">
    Require all denied
</Directory>

لاره د خپل ځان سره بدله کړئ او اپاچي بیا پورته کړئ:

apachectl configtest && systemctl reload apache2

په الما لینکس، راکي او نورو RHEL پر بنسټ سیسټمونو کې، خدمت ته ویل کیږي httpd.

وګورئ چې بلاک کار کوي

curl -I https://example.com/wp-content/upgrade/

ځواب باید کوډ بیرته راولي 403.

دریم ګام. بیک اپ جوړ کړئ

د تازه کولو دمخه، د سایټ فایلونو او ډیټابیس بیک اپ کړئ. د WP-CLI سره:

wp db export ~/backup-$(date +%F).sql
tar -czf ~/site-files-$(date +%F).tar.gz -C /var/www/example.com .

که تاسو VPS لرئ، تاسو کولی شئ د کنټرول پینل کې د سرور سنیپ شاټ هم واخلئ.

څلورم ګام. ورڈپریس تازه کړئ

د ادارې پینل یا WP-CLI له لارې

که تاسو لاسرسی بند کړی وي wp-content/upgrade/ (دوهم ګام)، د معمول په څیر تازه کړئ — د اډمین پینل څخه یا د WP-CLI سره:

wp core update
wp core update-db
wp core version

وروستۍ کمانډ باید ستاسو د څانګې لپاره 7.1.4 یا ثابت نسخه وښيي.

په لاسي ډول، د برید کړکۍ پرته

که تاسو د ویب سرور په کچه ډایرکټرۍ ته لاسرسی نشئ بندولی (د مثال په توګه، تاسو د هغې ترتیب ته لاسرسی نلرئ)، نو دا خوندي ده چې په لاسي ډول تازه کړئ. آرشیف د سایټ روټ څخه بهر استخراج کیږي، او فایلونه پرته له لمس کولو کاپي کیږي. wp-config.php or wp-content:

cd /tmp
wget https://wordpress.org/latest.tar.gz
tar -xzf latest.tar.gz
rsync -a --exclude 'wp-content' --exclude 'wp-config.php' /tmp/wordpress/ /var/www/example.com/
rm -rf /tmp/wordpress /tmp/latest.tar.gz

بیا د فایل ملکیت بیرته راګرځوئ (د ویب سرور کارونکي ممکن توپیر ولري، د مثال په توګه nginx or apache) او ډیټابیس تازه کړئ:

chown -R www-data:www-data /var/www/example.com
wp core update-db

د وروستي قوماندې پر ځای، تاسو کولی شئ خلاص کړئ https://example.com/wp-admin/upgrade.php ستاسو په براوزر کې

د پلگ انونو او موضوعاتو په اړه مه هېروئ

wp plugin update --all
wp theme update --all

پنځم ګام. د جوړجاړي نښو لپاره خپل سایټ وګورئ.

که ستاسو سایټ د اکتوبر له ۲۸مې وروسته له یوې زیانمنونکې نسخې څخه تازه شوی وي، ډاډ ترلاسه کړئ چې هیڅوک د برید څخه ګټه نه ده پورته کړې.

په لاګونو کې لنډمهاله نصب کونکو ته غوښتنې:

# nginx
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*

# Apache
grep -E "wp-content/upgrade/.*\.php" /var/log/apache2/access.log*

غوښتنې د الف سره 200 د ځواب کوډونه په ځانګړي ډول شکمن دي.

یو بدل شوی wp-config.php: د فایل د تعدیل نیټه او د ډیټابیس پیوستون ترتیبات وګورئ.

ls -l /var/www/example.com/wp-config.php
grep -E "DB_(NAME|USER|HOST)" /var/www/example.com/wp-config.php

د اصلي فایل بشپړتیا:

wp core verify-checksums

نا اشنا PHP فایلونه او مدیران:

find /var/www/example.com/wp-content/upgrade /var/www/example.com/wp-content/uploads -name "*.php"
find /var/www/example.com -name "*.php" -mtime -10
wp user list --role=administrator

که تاسو یو بدل شوی ومومئ wp-config.php، نا اشنا مدیران یا ناڅاپي PHP فایلونه، سایټ د خراب شوي په توګه وګڼئ. دا د اکتوبر د ۲۸مې څخه مخکې جوړ شوي بیک اپ څخه بیرته راګرځوئ، ورڈپریس تازه کړئ او ټول پاسورډونه بدل کړئ: مدیر، ډیټابیس، FTP او SSH.

که چیرې قراردادي ستاسو سایټ ساتي

دا مقاله دوی ته واستوئ او له هغوی څخه وغواړئ چې تایید کړي چې سایټ یوې ثابتې نسخې ته تازه شوی او د جوړجاړي نښې یې لیدلي دي.

مرستې ته اړتیا لرئ؟

ډاډه نه یاست چې تاسو دا پخپله اداره کولی شئ، یا شکمن فایلونه مو وموندل؟ زموږ د ملاتړ ټیم سره اړیکه ونیسئ - موږ به تاسو سره د دې په حل کې مرسته وکړو.