وردپرس در ۱۲ آگوست ۲۰۲۶ نسخه امنیتی WordPress 7.0.4 را منتشر کرد. این بهروزرسانی یک آسیبپذیری با شدت بالا را برطرف میکند که در شرایط مشخص میتواند به اجرای کد از راه دور (RCE) منجر شود. اگر مدیریت یک سایت وردپرسی، فروشگاه اینترنتی یا وبسایت سازمانی را برعهده دارید، بهتر است وضعیت نسخه وردپرس خود را همین حالا بررسی کنید.
چه اتفاقی افتاده است؟
طبق اطلاعیه رسمی WordPress.org، نسخه 7.0.4 یک انتشار امنیتی است و به مدیران سایتها توصیه شده آن را فوراً نصب کنند. سایتهایی که از بهروزرسانی خودکار پسزمینه پشتیبانی میکنند نیز فرایند دریافت نسخه اصلاحشده را آغاز میکنند.
آسیبپذیری مورد بحث با شناسه CVE-2026-65640 ثبت شده و در Advisory رسمی پروژه WordPress با شدت High و امتیاز CVSS برابر 8.8 از 10 توصیف شده است.
آسیبپذیری CVE-2026-65640 چیست؟
این نقص امنیتی به سناریوی آپلود فایل مخرب مربوط میشود. براساس Advisory رسمی، مهاجمی که دسترسی احراز هویتشده در سطح Author (نویسنده) یا بالاتر داشته باشد، در محیطهای آسیبپذیر میتواند با آپلود فایل دستکاریشده شرایط اجرای کد از راه دور را ایجاد کند.
بنابراین این آسیبپذیری به معنی «هک شدن هر سایت وردپرسی بدون هیچ دسترسی» نیست؛ اما از آنجا که پیامد موفقیت حمله میتواند جدی باشد، نصب وصله امنیتی باید در اولویت قرار بگیرد.
چه سایتهایی باید سریعتر بهروزرسانی شوند؟
در عمل همه مدیران وردپرس باید نسخه نصبشده را بررسی کنند، اما سایتهایی که چند نویسنده دارند، امکان آپلود فایل برای کاربران دارای نقش Author یا بالاتر فراهم کردهاند، یا روی زیرساختهای پردازش تصویر و فایل کار میکنند، باید موضوع را جدیتر پیگیری کنند.
طبق اطلاعات منتشرشده، اصلاح امنیتی فقط محدود به شاخه 7.0 نیست و WordPress این وصله را به شاخههای قدیمیتر تا نسخه 4.7 نیز backport کرده است. به همین دلیل حتی اگر سایت شما هنوز روی شاخه اصلی 7.0 قرار ندارد، باید آخرین نسخه امنیتی موجود برای شاخه خود را نصب کنید.
چطور وردپرس را امن بهروزرسانی کنیم؟
برای سایتهای معمولی میتوانید از مسیر پیشخوان وردپرس ← بهروزرسانیها نسخه جدید را نصب کنید. با این حال، برای سایتهای تجاری بهتر است قبل از آپدیت از فایلها و دیتابیس نسخه پشتیبان تهیه شود و پس از نصب، بخشهای اصلی سایت بررسی شوند.
- از فایلها و دیتابیس بکاپ کامل بگیرید.
- وردپرس را به آخرین نسخه امنیتی شاخه نصبشده ارتقا دهید.
- قالبها و افزونهها را نیز بهروز کنید.
- نقش کاربران و دسترسی Author و Editor را بازبینی کنید.
- فایلهای آپلودشده اخیر و لاگهای امنیتی را بررسی کنید.
- پس از آپدیت، ورود کاربران، آپلود رسانه، فرمها و فروشگاه را تست کنید.
اگر سایت وردپرسی روی هاست اشتراکی است چه کنیم؟
امنیت وردپرس فقط به هسته CMS محدود نمیشود. نسخه PHP، تنظیمات وبسرور، سطح دسترسی فایلها، محدودسازی اجرای فایل در مسیرهای آپلود، بکاپ منظم و لایههای امنیتی هاست هم اهمیت دارند. اگر سایت شما روی هاست میزبانی میشود، بعد از بهروزرسانی وردپرس وضعیت نسخه PHP و بکاپهای اخیر را نیز کنترل کنید.
برای پروژههایی که منابع اختصاصیتر یا کنترل بیشتری روی محیط سرور نیاز دارند، استفاده از سرور مجازی میتواند امکان مدیریت دقیقتر تنظیمات امنیتی، فایروال و لاگها را فراهم کند.
آیا باید نگران سوءاستفاده باشیم؟
وجود CVE بهتنهایی به معنی آلوده بودن سایت شما نیست. نکته مهم این است که آسیبپذیری اکنون عمومی شده و جزئیات فنی آن در منابع امنیتی قابل مشاهده است؛ در نتیجه فاصله زمانی بین انتشار وصله و نصب آن اهمیت زیادی دارد. بهترین اقدام، بهروزرسانی سریع و سپس بررسی لاگها و حسابهای کاربری دارای سطح دسترسی بالا است.
جمعبندی
WordPress 7.0.4 یک بهروزرسانی امنیتی مهم است که آسیبپذیری CVE-2026-65640 را برطرف میکند. اگر سایت وردپرسی دارید، نسخه نصبشده را بررسی کنید، بکاپ بگیرید و آخرین نسخه امنیتی در دسترس را نصب کنید. همچنین دسترسی کاربران، آپلودهای اخیر و تنظیمات امنیتی هاست را بازبینی کنید.
برای آموزشهای بیشتر درباره مدیریت و امنیت وردپرس میتوانید مقاله آموزش نصب WPScan، اسکنر امنیتی وردپرس و مطلب آسیبپذیرترین افزونههای وردپرس را در آکادمی وان سرور مطالعه کنید.