اكتشف هذه المشكلة الباحث الأمني أوستن جيندر. يمكنك الاطلاع على منشوره على Anchor Hosting، حيث يشرح بالتفصيل ما حدث، بالإضافة إلى قائمة بالإضافات المتأثرة. ليست هذه مشكلة حديثة، فقد قام المهاجم بإدخال البرمجيات الخبيثة في أغسطس 2025، ولكن لم يبدأ بتوزيعها على المستخدمين عبر التحديثات إلا مؤخرًا.
هذا يعني أن المهاجم قادر على إنشاء صفحات بريد إلكتروني عشوائية، والتسبب في عمليات إعادة توجيه خبيثة، وتوجيه المستخدمين إلى مواقع مختلفة. ويستخدم خادم تحكم لإدارة كل ذلك. ويعود تأثير هذه الثغرة على آلاف المواقع الإلكترونية إلى العدد الكبير من المواقع التي تستخدم إضافات EssentialPlugin. إجمالاً، تأثر أكثر من 30 إضافة.
اكتشف أوستن غليندر هذه المشكلة بعد تلقيه إشعارًا بوجود إضافة ووردبريس تحتوي على شفرة تسمح بوصول جهات خارجية. ومن ثم، بدأ تحقيقًا وتأكد من أنها ثغرة أمنية موجودة في حزمة EssentialPlugin منذ أغسطس 2025، عندما تغيرت ملكية المشروع.
تجدر الإشارة إلى أن EssentialPlugin يحتوي على العديد من الإضافات التي تستخدمها مواقع إلكترونية لا حصر لها. على سبيل المثال، يتضمن شريطًا لعرض الأخبار لعرض أحدث المقالات، بالإضافة إلى معارض الصور، وأدوات التسويق، والقوالب، وأدوات تحسين محركات البحث.
... كان هذا الباب الخلفي، الموجود منذ شهور، غير نشط حتى وقت قريب، عندما تم تنشيطه واتصل بصمت بالبنية التحتية الخارجية للحصول على ملف يسمى wp-comments-posts.php، وهو الملف الذي يقوم بحقن البرامج الضارة في wp-config.php.
لم يلاحظ أصحاب المواقع المتأثرة أي تغييرات على مواقعهم. إنه برنامج خبيث خفي، قادر على التخفي عن الأنظار. وبحسب التعليمات التي يتلقاها، يمكنه نشر روابط مزعجة، أو إعادة توجيه المستخدمين، أو إنشاء صفحات مزيفة.
وفقًا لتحليل أجرته PatchStack، وهي منصة أمان لـ WordPress، ونُشر في 15 أبريل، فإن الباب الخلفي لا يعمل إلا إذا أعاد موقع analytics.essentialplugin.com محتوىً خبيثًا مُسلسلًا.
سارعت WordPress إلى تعطيل أو تحديث الإضافات المتأثرة. مع ذلك، أشار بعض المطورين إلى أن هذا الإجراء لا يحذف ملف wp-config الرئيسي، المسؤول عن ربط المواقع بقواعد بياناتها.
علاوة على ذلك، تشير ووردبريس إلى أنه على الرغم من أن أحد المواقع المعروفة للثغرة الأمنية هو ملف يُدعى wp-comments-posts.php، وهو مشابه للملف الأصلي wp-comments-post.php، إلا أن البرمجية الخبيثة قد تكون مخفية في ملفات أخرى.
إذا كان لديك موقع ويب وتستخدم إضافات EssentialPlugin، فإن أفضل إجراء وقائي هو تعطيلها مؤقتًا. من الضروري إجراء تدقيق شامل، والتحقق من هوية المطور، والتأكد من تحديث الإضافات بشكل صحيح. كن حذرًا من الإضافات التي تغيرت ملكيتها.
لا يوجد حاليًا أي بيان رسمي من EssentialPlugin بخصوص هذه المشكلة. ومع ذلك، يُقدّر عدد عمليات التثبيت بما بين 20,000 و60,000 عملية.
ليست هناك تعليقات:
إرسال تعليق