فحص ثغرات إضافات WordPress: WP-CLI وWPScan وقواعد بيانات الثغرات

هذه المقالة نسخة مُوطَّنة من الأصل الياباني. اقرأ الأصل الياباني

قد يكون الوقت قصيرًا بين نشر ثغرة في إضافة وبدء الهجمات عليها. الأساس أن تدير دورة منتظمة: تعرف الإضافات المثبّتة وإصداراتها، وتطابقها مع الثغرات المعروفة، وتحدّث إذا وُجد إصدار مصحَّح. تشرح هذه المقالة بالترتيب التحقق من الإصدارات بـ WP-CLI، والمطابقة بـ WPScan، وقراءة قواعد بيانات الثغرات، وفحص العبث، والمعالجة عند العثور على ثغرة. الأوامر وشروط الأسعار مأخوذة من مراجعة الوثائق الرسمية لكل جهة في نوفمبر 2026.

1. اعمل قائمة بالإضافات المثبّتة وإصداراتها

اعرف أولًا ما هو مثبّت وبأي إصدار. يمكنك التحقق من «الإضافات ← الإضافات المثبّتة» (Plugins → Installed Plugins) في لوحة التحكم، لكن WP-CLI يتيح حفظ القائمة.

# عرض الاسم والإصدار والتفعيل/التعطيل وتوفر تحديث
wp plugin list --fields=name,version,status,update

# عرض ما له تحديث فقط
wp plugin list --update=available

# الحفظ بصيغة JSON للتسجيل
wp plugin list --fields=name,version,status --format=json > plugins.json

تظهر الإضافات المعطّلة في القائمة أيضًا. حتى المعطّلة تبقى ملفاتها على الخادم وقد يُوصَل مباشرة إلى ملف فيه ثغرة، لذا احذف ما لا تستخدمه. الأساسيات في WP-CLI مشروحة في «إدارة الإضافات بـ WP-CLI».

2. طابق الثغرات المعروفة بـ WPScan

WPScan أداة سطر أوامر تفحص موقع WordPress من الخارج. تُجلب معلومات الثغرات من API الخاص بـ WPScan، لذا أنشئ حسابًا في wpscan.com وأصدر رمز API (API Token) لتستخدمه.

وفق صفحة أسعار WPScan، الخطة المجانية مقصورة على الاستخدام غير التجاري، ولا تتجاوز استدعاءات API فيها 25 استدعاءً في اليوم. وإذا استخدمتها لموقع تجاري فلا بد من ترخيص مدفوع. تعمل الأداة بلا رمز API لكن لا تظهر حينئذ معلومات الثغرات.

# التثبيت (عبر gem في Ruby)
gem install wpscan

# عند الاستخدام مع Docker
docker pull wpscanteam/wpscan

# فحص الإضافات التي أُبلغ عن ثغرات فيها
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp

# جعل طريقة الاكتشاف passive وaggressive معًا
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp --plugins-detection mixed

أهم قيم -e كما يلي.

يكون اكتشاف الإضافات افتراضيًا بالنمط passive الذي يقرأ من HTML الصفحة ونحوه. وقد لا تُكتشف الإضافات التي لا تترك أثرًا في HTML، فتحديد aggressive أو mixed يزيد الاكتشاف لكنه يزيد عدد الطلبات أيضًا.

لا يجوز استخدام WPScan إلا على موقع تديره أنت أو موقع أذن لك صاحبه. ولمزيد من التفاصيل راجع أيضًا «فحص ثغرات الموقع بـ WPScan».

3. تأكد من التفاصيل في قواعد بيانات الثغرات

الإضافات التي ذُكرت في نتائج WPScan أو في أخبار الأمن، تحقق من تفاصيلها في قواعد البيانات التالية.

• WPScan Vulnerability Database (wpscan.com)
• Wordfence Intelligence (wordfence.com)
• Patchstack Database (patchstack.com)
• NVD (nvd.nist.gov، ويُبحث فيها برقم CVE)

البنود التي يجب النظر فيها هي الآتية.

عالج أولًا ما يمكن استغلاله دون تسجيل دخول وما درجة خطورته عالية. وما يمكن استغلاله بصلاحية مشترك فاستعجل معالجته في المواقع التي تقبل تسجيل المستخدمين (مواقع العضوية والمتاجر وغيرها).

4. تأكد من عدم العبث بالملفات

عندما يُحتمل أن ثغرة استُغلّت، تحقق من أن الملفات كما وُزّعت. يقارن الأمر verify-checksums في WP-CLI الملفات بمجاميع التحقق (Checksums) التي ينشرها WordPress.org.

# فحص كل الإضافات
wp plugin verify-checksums --all

# فحص إضافة معيّنة فقط
wp plugin verify-checksums contact-form-7

# فحص ملفات نواة WordPress
wp core verify-checksums

إذا لم توجد مشكلة ظهر شيء مثل Success: Verified 8 of 8 plugins.. وإذا وُجدت ملفات مضافة أو ملفات مختلفة المحتوى ظهرت قائمة بها.

الإضافات المدفوعة التي لا تُوزَّع من WordPress.org لا مجاميع تحقق لها، فلا تُفحص بهذه الطريقة. وفي هذه الحالة نزّل الإصدار نفسه من الجهة الموزِّعة وقارن الملفات.

5. المعالجة عند العثور على ثغرة

# إذا وُجد إصدار مصحَّح: حدّث
wp plugin update contact-form-7

# إذا لم يوجد إصدار مصحَّح: عطّل، واحذف إن لم تكن تستخدمها
wp plugin deactivate vulnerable-plugin
wp plugin delete vulnerable-plugin

# قبل التحديث الجماعي، راجع ما سيُحدَّث
wp plugin update --all --dry-run

vulnerable-plugin مثال. استبدله بالـ slug الفعلي (عمود name في wp plugin list).

• خذ نسخة احتياطية قبل التحديث، وبعده تأكد من عمل الشاشات الرئيسية (نموذج الاتصال والدفع وغيرها).
• الإضافة التي لا يصدر لها إصدار مصحَّح وتوقف تطويرها فكّر في الانتقال إلى إضافة أخرى بالوظيفة نفسها. والإضافة التي أوقف WordPress.org توزيعها يظهر على صفحتها إشعار بالإيقاف.
• إذا ظهرت علامات عبث فلا يكفي التحديث. تحقق كذلك من إضافة مستخدمين مديرين، وملفات PHP الموضوعة في uploads، والتغييرات في wp-config.php، واستعد من النسخة الاحتياطية إن لزم.

6. اجعل التحقق عادة

• في «الإضافات» (Plugins) بلوحة التحكم يمكنك تفعيل التحديث التلقائي لكل إضافة على حدة (من WordPress 5.5). فعّله أولًا للإضافات التي يقل احتمال أن يختل العرض بتحديثها. وللتفاصيل راجع «إعداد التحديث التلقائي للإضافات».
• إذا شغّلت WPScan دوريًا بـ cron فانتبه إلى الحد المجاني البالغ 25 استدعاءً في اليوم وشرط الاستخدام غير التجاري.
• وإضافة الأمان Wordfence تنبّه كذلك في فحصها إلى الإضافات التي تحتاج إلى تحديث وغيرها. وطريقة استخدامها مشروحة في «فحص الموقع بـ Wordfence».

الخلاصة

يسير فحص ثغرات الإضافات بالترتيب: اعمل القائمة (wp plugin list)، وطابقها مع الثغرات المعروفة (WPScan أو قواعد بيانات الثغرات)، وتحقق من العبث (wp plugin verify-checksums)، وعالج بالتحديث أو الحذف. وحذف الإضافات غير المستخدمة هو أقل الإجراءات جهدًا.

لديك أسئلة حول WordPress؟ ناشر هذا الموقع موجود في اليابان ويرد باللغة اليابانية. تواصل معنا (باليابانية)