دنیای دیجیتال با سرعت بالایی در حال حرکت است و حفظ امنیت وب نیاز به هوشیاری مداوم دارد. تیم توسعهدهنده هسته open source وردپرس به طور رسمی انتشار نسخه WordPress 7.0.4 را اعلام کرده است. این بهروزرسانی که به عنوان یک security release حیاتی عرضه شده است، آسیبپذیریهای با severity بالا را برطرف میکند؛ آسیبپذیریهایی که میتوانستند وبسایتهای بدون patch را در معرض خطر remote takeover کامل قرار دهند. از آنجا که این یک security release است، به مدیران سایت، تیمهای agency، مدیریتهای ارشد فناوری (CTO) و وبمسترها اکیداً توصیه میشود که سایتهای خود را immediately آپدیت کنند.
عدم اعمال بهروزرسانیهای core در زمان مناسب، یکی از اصلیترین attack vectorهایی است که توسط هکرها در سراسر جهان مورد سوءاستفاده قرار میگیرد. تهدیدات امنیتی منتظر زمانبندی صیانتی و maintenance window شما نمیمانند و scannerهای اتوماتیک تنها چند ساعت پس از انتشار یک security disclosure عمومی، میلیونها دامنه را بررسی میکنند. درک جزئیات این بهروزرسانی، مکانیسم دقیق vulnerability موجود و مراحل لازم برای remediation باعث میشود که داراییهای دیجیتال شما امن، فعال و در برابر exploitationهای احتمالی کاملاً محافظت شده باقی بمانند.
کالبدشکافی مشکل: درک آسیبپذیری اجرای کد از راه دور (Remote Code Execution)
در قلب نسخه WordPress 7.0.4، یک patch برای یک آسیبپذیری شدید Remote Code Execution قرار دارد. این ثقبه امنیتی که به طور رسمی با شناسه CVE-2026-65640 ثبت شده است، یک خطره کاملاً جدی محسوب میشود زیرا remote code execution به مهاجم اجازه میدهد تا arbitrary system commands را مستقیماً روی host server اجرا کند. زمانی که code execution محقق شود، مهاجم میتواند permissionهای استاندارد web application را دور بزند، فایلهای حساس configuration را بررسی کند، محتوای داخلی database را تغییر دهد، redirectهای مخرب ایجاد کند، اطلاعات حساس کاربران را exfiltrate کند یا یک persistent backdoor برای دسترسیهای غیرمجاز بعدی ایجاد نماید.
این security issue به طور خاص روی محیطهای web hosting تاثیر میگذارد که از Imagick در کنار Ghostscript برای image manipulation و document rendering سمت سرور استفاده میکنند. در استانداردترین حالتهای نصب وردپرس، media library به کتابخانههای پردازش تصویر متکی است تا thumbnailها را تولید کند، اندازه فایلها را تغییر دهد و metadataها را استخراج کند. وقتی وردپرس بهگونهای تنظیم شده باشد که از PHP extension مربوط به Imagick استفاده کند، سیستم برخی از دستورات مربوط به file conversion و post-processing را به ابزارهای جانبی سیستم محول میکند.
تیم امنیتی وردپرس مایل است از افراد زیر بابت گزارش مسئولانه آسیبپذیریها و امکان برطرف کردن آنها در این نسخه تشکر کند:
-
An authenticated Author+ remote code execution issue via malicious file upload on sites that use Imagick and Ghostscript reported by the team at pwn.ai.
این bug به این دلیل رخ داد که workflow پردازش تصویر در core، به شدت به inputهای ورودی کاربران اعتماد میکرد و پیش از ارسال argumentها به Imagick، فایلها را به طور کامل validation نمیکرد. از نظر تاریخی، کتابخانههای تصویر همیشه با مشکل format confusion مواجه بودهاند؛ جایی که یک فایل ظاهراً معمولی با extensionهایی مثل PNG یا JPG، در واقع حاوی کد PostScript یا دستورات vector است. وقتی یک کاربر authenticated که دسترسی در سطح Author یا بالاتر داشت یک فایل مخرب و carefully crafted را آپلود میکرد، engine پردازش تصویر نمیتوانست payload را به درستی sanitize کند.
به جای reject کردن فایل، سرور محتوا را مستقیماً به Imagick منتقل میکرد. در مقابل، Imagick ابزار Ghostscript را فراخوانی میکرد تا document یا عناصر postscript موجود در فایل آپلود شده را render کند. از آنجا که Ghostscript پیشینه آسیبپذیری در برابر memory corruption و command injection هنگام پردازش دستورات غیرقابل اعتماد PostScript را دارد، دستورات پنهانشده در payload را اجرا میکرد. این chain کامل به مهاجم اجازه میداد تا shell scriptها و دستورات مدیریتی را دقیقاً با همان access level مربوط به web server user اجرا کند.
چه کسانی تحت تاثیر قرار گرفتهاند؟ ارزیابی پروفایل ریسک سایت شما
همه سایتهای وردپرسی به یک شکل configure نشدهاند، به این معنی که میزان exposure آنها بسته به معماری سرور و مدیریت نقشهای کاربری متفاوت است. با این حال، چون این آسیبپذیری در داخل core media handling library قرار دارد، potential footprint آن بسیار وسیع است. برای ارزیابی اینکه آیا infrastructure شما در معرض خطر قرار دارد یا خیر، باید سه فاکتور اصلی یعنی user roles، وابستگی به PHP extensions و پکیجهای نرمافزاری سرور را بررسی کنید.
اول اینکه، این attack vector نیاز به access کاربر authenticated در سطح Author یا بالاتر دارد. نقش Author در hierarchy دسترسیهای وردپرس به کاربران اجازه میدهد نوشتههای خود را بنویسند، ویرایش و منتشر کنند و همچنین فایلها را مستقیماً در Media Library آپلود نمایند. در نتیجه، وبسایتهایی که دارای چند نویسنده، پورتالهای خبری، workflowهای مربوط به نویسنده مهمان، پلتفرمهای انتشار عمومی یا تیمهای تحریریه بزرگ هستند با threat level بالاتری مواجه میشوند. اگر یک هکر بتواند حتی یک حساب کاربری Author را از طریق روشهایی مثل password spraying، credential stuffing یا phishing هک کند، دسترسی کافی برای trigger کردن این execution path را خواهد داشت. حسابهای Contributor که به طور default قابلیت آپلود ندارند نمیتوانند مستقیماً فایل آپلود کنند و این موضوع حداقل آستانه آسیبپذیری را به طور دقیق روی نقش Author قرار میدهد.
دوم اینکه، این آسیبپذیری به server-side image processing libraries خاصی وابسته است. سرورهای استاندارد PHP معمولاً از GD Graphics Library یا Imagick extension استفاده میکنند. اگر سرور شما فقط به GD متکی باشد و Imagick extension روی آن نصب یا active نباشد، این execution path خاص فعال نمیشود. اما اگر Imagick فعال باشد و Ghostscript نیز برای مدیریت فایلهای EPS، PDF یا PostScript روی hosting server نصب شده باشد، برنامه شما مستقیماً وارد دایره خطر میشود.
مدیران سایت میتوانند با طی کردن مراحل diagnostic زیر در پنل مدیریتی وردپرس، وضعیت exposure خود را بررسی کنند:
-
به مسیر Tools در dashboard وردپرس بروید و Site Health را انتخاب کنید.
-
روی تب Info در بالای صفحه کلیک کنید.
-
بخش Media Handling را باز کنید.
-
بخش Active Editor را بررسی کنید تا ببینید آیا
WP_Image_Editor_Imagickبه عنوان driver اصلی ثبت شده است یا خیر. -
جزئیات مربوط به library زیرین را بررسی کنید تا فعال بودن Ghostscript روی سرور را تأیید کنید.
حتی اگر بررسی Site Health نشان دهد که Ghostscript در حال حاضر disabled یا غیرقابل دسترس است، متخصصان امنیتی اکیداً توصیه میکنند که در آپدیت کردن core تأخیر ایجاد نکنید. کانفیگهای سرور معمولاً در زمان migration، آپدیتهای روتین سرور، rebuild کردن containerها یا upgradeهای PHP تغییر میکنند. تکیه بر کانفیگ موقت سرور به عنوان یک safeguard امنیتی، وبسایت شما را در برابر تغییرات آتی infrastructure آسیبپذیر نگه میدارد. آپدیت کردن نرمافزار core، این خطر را در سطح application code و بدون توجه به تغییرات backend environment برطرف میکند.
تحلیل فنی: نسخه 7.0.4 چگونه آسیبپذیری را اصلاح (Patch) میکند
تیم امنیتی وردپرس و توسعهدهندگان open source بلافاصله پس از دریافت گزارش آسیبپذیری از سمت پژوهشگران pwn.ai وارد عمل شدند. این واکنش شامل refactor کردن ساختار loading تصویر در نرمافزار core بود.
اصلیترین تغییرات در فایل
wp-includes/class-wp-image-editor-imagick.php انجام شد؛ فایلی که مدیریت عملیات ImageMagick را بر عهده دارد. قبل از نسخه 7.0.4، هنگام آپلود فایل، سیستم extension نام فایلها را validate میکرد اما پیش از ساخت instance از کلاس Imagick، بازرسی عمیقی روی محتوا (deep content inspection) انجام نمیداد. این موضوع به مهاجمان اجازه میداد با پنهان کردن payloadهای PostScript در فایلهایی که ظاهراً بی خطر بودند، بررسی extensionها را دور بزنند.آپدیت ارائه شده در WordPress 7.0.4 مکانیزمهای سختگیرانهای برای validation محتوا در low-level ایجاد میکند تا قبل از اینکه هر نوع image object توسط کتابخانه parse شود، جلوی آن گرفته شود. تغییرات کلیدی شامل موارد زیر است:
-
Byte-Level Header Inspection: لودر core اکنون بایتهای هدر binary فایلهای آپلود شده را قبل از پردازش میخواند تا ساختار واقعی MIME را بررسی کند و magic byteهای مربوط به PostScript یا فرمتهای vector را تشخیص دهد.
-
Format Specifier Sanitization: کد اصلاح شده prefixهای خطرناک (مانند خواندن اجباری فایل از طریق format specifierهایی نظیر
MSL:یاLABEL:) را که میتوانستند ImageMagick را به اجرای sub-routineهای ناخواسته یا خواندن فایلهای داخلی سیستم ترغیب کنند، پاکسازی میکند. -
Ghostscript Execution Guardrails: با اعمال validationهای سختگیرانهتر قبل از انجام file transformation، وردپرس فرآیند انتقال فایل بین Imagick و Ghostscript را خنثی کرده و از رسیدن فایلهای تأیید نشده به rendering engine جلوگیری میکند.
علاوه بر ایمنسازی شاخه اصلی در نسخه 7.0.4، تیم امنیتی وردپرس این patchهای حیاتی را برای نسخههای قدیمیتر نیز backport کرده است. با در نظر گرفتن اینکه میلیونها وبسایت به دلیل وابستگی به pluginهای قدیمی روی نسخههای قبلی کار میکنند، patchهای backport شده برای تمام شاخههای فعال از نسخه 4.7 تا 6.9 و همچنین شاخههای pre-release ارائه شد. این پشتیبانی گسترده تضمین میکند که محیطهای قدیمی نیز بدون نیاز به upgrade آنی به نسخههای اصلی بعدی، ایمن شوند.
راهنمای گامبهگام بهروزرسانی سایت وردپرسی شما
آپدیت کردن نرمافزار core باید با دقت انجام شود تا از هرگونه layout shift ناخواسته، عدم هماهنگی با pluginها یا downtime جلوگیری شود. دنبال کردن یک deployment protocol مشخص، فرآیند upgrade بدون خطری را در تمام محیطها تضمین میکند.
فاز اول: پشتیبانگیری و تست پیش از بهروزرسانی
-
Perform a Complete System Backup: قبل از شروع هر آپدیتی، یک backup کامل از database و کل دایرکتوری
wp-contentتهیه کنید. مطمئن شوید که backup شما شامل تمام فایلهای آپلود شده، themeها و pluginها باشد. -
Test in a Staging Environment: وبسایت اصلی خود را در یک staging environment ایزوله clone کنید. ابتدا آپدیت را روی staging انجام دهید تا بررسی کنید که theme فعال، کدهای اختصاصی و pluginهای شما با WordPress 7.0.4 کاملاً کار میکنند.
-
Review User Permissions: لیست کاربران فعال را در پنل مدیریت بررسی کنید. دسترسی حسابهای Author یا Editor که نیازی به آپلود فایل ندارند را به سطح Subscriber یا Contributor کاهش دهید.
فاز دوم: اجرای بهروزرسانی
-
Automatic Background Updates: سایتهایی که برای دریافت آپدیتهای فرعی امنیتی به صورت خودکار تنظیم شدهاند، باید WordPress 7.0.4 را به صورت automatic دانلود و اعمال کنند. میتوانید با بررسی notification dashboard یا ایمیلهای سیستم از انجام آن مطمئن شوید.
-
Manual One-Click Dashboard Update: وارد dashboard مدیریت وردپرس شوید. به بخش Dashboard و سپس Updates بروید. پیام مربوط به در دسترس بودن WordPress 7.0.4 را پیدا کرده و روی دکمه Update Now کلیک کنید.
-
Manual WP-CLI Upgrade: برای توسعهدهندگانی که سرورها را از طریق terminal مدیریت میکنند، به دایرکتوری root بروید و دستور
wp core updateرا اجرا کنید. پس از اتمام، با اجرایwp core versionنسخه نصب شده را verify کنید. -
Manual FTP/SFTP Deployment: اگر دسترسی به وب محدود است، فایل ZIP نسخه رسمی را مستقیم از WordPress.org دانلود کنید. آن را uncompress کرده و دایرکتوریهای جدید
wp-includesوwp-adminرا از طریق SFTP جایگزین فایلهای قدیمی کنید و دقت کنید که فایلwp-config.phpو دایرکتوریwp-contentدستنخورده باقی بمانند.
فاز سوم: راستیآزمایی و ایمنسازی پس از بهروزرسانی
-
Clear Server and CDN Caches: حافظههای object cache، page cache، Redis/Memcached و Cloudflare CDN را purge کنید تا مطمئن شوید کدهای قدیمی سرویسدهی نمیشوند.
-
Inspect Site Health: به بخش Tools -> Site Health برگردید تا تأیید کنید وضعیت نصب هیچ خطای critical ندارد.
-
Conduct Functional Testing: فرآیندهای اصلی سایت مثل آپلود فایل در media library، ساخت gallery، انتشار نوشتهها و render شدن صفحات سمت کاربر را تست کنید.
راهکارهای امنیتی جامعتر برای محیطهای مدرن وردپرس
اگرچه آپدیت به نسخه WordPress 7.0.4 آسیبپذیری Remote Code Execution را برطرف میکند، اما امنیت واقعی نیازمند یک استراتژی defense-in-depth است. تکیه صرف به آپدیتهای core باعث میشود مسیرهای دیگری مثل pluginهای قدیمی، credentialهای ضعیف و کانفیگهای نادرست سرور همچنان در معرض خطر باشند. پیادهسازی یک framework امنیتی جامع، میزان risk را به حداقل میرساند.
اعمال اصل حداقل دسترسی (Principle of Least Privilege)
مدیریت حسابهای کاربری خط اول دفاعی شماست. آسیبپذیری برطرف شده در نسخه 7.0.4 نشان میدهد که چگونه دسترسیهای سطح بالا میتوانند برای compromise کردن کل یک application مورد استفاده قرار گیرند. دائماً حسابها را audit کرده و دسترسیهای اضافی را لغو کنید. همچنین استفاده از multi-factor authentication را برای تمامی حسابهای دارای دسترسی به dashboard اجباری کنید.
پیادهسازی دیوارهای آتش برنامههای وب (WAF)
یک Web Application Firewall قدرتمند ترافیک HTTP/HTTPS ورودی را قبل از رسیدن به PHP application بررسی میکند. WAFهای پیشرفته patternهای درخواستها، file signatureها و ساختار payloadها را به صورت real time تحلیل میکنند. اگر یک payload مخرب برای سوءاستفاده از Imagick یا Ghostscript ارسال شود، یک WAF کانفیگشده جلوی درخواست را در edge میگیرد و مانع اجرای آن روی سرور میشود.
ایمنسازی پردازش رسانه در سطح سرور
اگر معماری hosting شما اجازه میدهد، محدودیتهایی را در سطح سرور برای parsing تصویر تنظیم کنید. تنظیمات ImageMagick را میتوان از طریق فایل
policy.xml تغییر داد تا delegate handlerها برای فرمتهای غیرضروری یا آسیبپذیر مثل Ghostscript، EPS، PDF و PostScript غیرفعال شوند. محدود کردن ImageMagick به فرمتهای ضروری مانند JPEG، WebP و PNG به طور چشمگیری attack surface سرور شما را کاهش میدهد.حفظ برنامهریزی منظم برای نگهداری سایت
نگهداری امنیتی نباید یک کار reactive باشد که صرفاً پس از انتشار اخبار امنیتی انجام شود. همکاری با تیمهای فنی متخصص، نظارت مداوم، backupهای اتوماتیک off-site و patch فوری را تضمین میکند. سازمانهایی که در مراکز اقتصادی فعال فعالیت میکنند اغلب به سرویسدهندگان منطقهای متکی هستند. کسبوکارهایی که به دنبال مدیریت حرفهای هستند میتوانند از خدمات پشتیبانی وب سایت استفاده کنند تا از رعایت کامل پروتکلهای امنیتی، بهینهسازی database و انجام بهروزرسانیهای بدون downtime اطمینان حاصل نمایند.
پرسشهای متداول درباره وردپرس 7.0.4
آیا وردپرس 7.0.4 یک بهروزرسانی اصلی (Major) است؟
خیر، نسخه WordPress 7.0.4 یک minor security release است. نسخههای minor صرفاً روی برطرف کردن bugها، بستن آسیبپذیریهای امنیتی و افزایش stability تمرکز دارند و تغییرات معماری یا قابلیتهای جدید به همراه ندارند.
آیا بهروزرسانی به 7.0.4 باعث اختلال در قالب یا پلاگینهای اختصاصی میشود؟
از آنجا که 7.0.4 یک بهروزرسانی امنیتی هدفمند است، بهگونهای طراحی شده که کاملترین backward compatibility را داشته باشد. با این حال بهتر است قبل از آپدیت روی محیط واقعی، از سایت خود backup بگیرید و آن را روی یک staging environment تست کنید.
چرا نسخههای قدیمیتر وردپرس نیز این بهروزرسانی را دریافت میکنند؟
تیم امنیتی core وردپرس برای کمک به کاربرانی که هنوز روی نسخههای قدیمیتر هستند، patchهای امنیتی را به صورت backport برای نسخههای قبلی نیز ارائه میدهد. نسخههای 4.7 تا 6.9 این patchها را دریافت میکنند تا بدون نیاز به upgrade اجباری به نسخه اصلی بعدی، ایمن شوند.
چگونه بفهمم سایتم به طور خودکار بهروزرسانی شده است یا خیر؟
اگر سایت شما برای دریافت اتوماتیک آپدیتهای minor تنظیم شده باشد، احتمالا اندکی پس از انتشار به طور خودکار آپدیت شده است. میتوانید با ورود به dashboard وردپرس و بررسی گوشه پایین سمت راست، یا بررسی بخش Dashboard -> Updates از نسخه فعال خود مطلع شوید.
سخن پایانی: همین حالا اقدام کنید
آسیبپذیریهای امنیتی از نوع remote code execution یک تهدید فوری برای کسبوکارهای آنلاین و سازمانها محسوب میشوند. افشای آسیبپذیری CVE-2026-65640 نقشه راهی برای مهاجمان فراهم میکند تا سیستمهای patch نشدهای که از Imagick و Ghostscript استفاده میکنند را هدف قرار دهند.
با آپدیت سیستمهای خود به WordPress 7.0.4 در امروز، بررسی نقشهای کاربری، بررسی کانفیگهای سرور و اعمال دیوارهای امنیتی، مطمئن خواهید شد که وبسایت شما امن، فعال و در برابر تهدیدات مقاوم باقی میماند. فرآیند نگهداری سایت خود را به تأخیر نیندازید و همین حالا patch امنیتی را برای محافظت از محتوا، کاربران و infrastructure دیجیتال خود اعمال کنید.
