اگر سایت وردپرسی دارید، این روزها مهم‌ترین کاری که باید انجام دهید نصب آپدیت امنیتی وردپرس 7.1.4 است. تیم وردپرس روز چهارشنبه ۶ آبان ۱۴۰۵ (۲۸ اکتبر ۲۰۲۶) این نسخه را منتشر کرد و در اطلاعیه رسمی خود صریحاً نوشت چون این یک انتشار امنیتی است، توصیه می‌شود سایت‌ها فوراً به‌روزرسانی شوند. در این مطلب توضیح می‌دهیم نصر بلاگ این نسخه چه مشکلاتی را برطرف می‌کند، چه کسانی باید سریع‌تر اقدام کنند و چطور به‌روزرسانی را بی‌دردسر انجام دهیم.
وردپرس 7.1.4 چه نسخه‌ای است؟
نسخه 7.1.4 یک انتشار کوتاه‌مدت و صرفاً امنیتی در شاخه 7.1 است؛ یعنی قابلیت جدید چشمگیری اضافه نمی‌کند و تمرکزش روی بستن حفره‌هاست. نسخه قبلی این شاخه، یعنی 7.1.3، روز ۶ اکتبر منتشر شده بود و حالا فقط سه هفته بعد، اصلاحیه تازه‌ای از راه رسیده است. هم‌زمان نسخه‌های اصلاحی برای شاخه‌های قدیمی‌تر هم عرضه شده، از جمله 7.0.8، 6.9.11 و 6.8.12، تا سایت‌هایی که هنوز روی نسخه‌های قبلی مانده‌اند هم بی‌دفاع نباشند. البته خود وردپرس تأکید می‌کند که فقط جدیدترین نسخه به‌طور فعال پشتیبانی می‌شود.
نسخه اصلی بعدی، یعنی وردپرس 7.2، طبق برنامه برای اوایل آذر و دقیق‌تر حدود ۸ دسامبر در نظر گرفته شده است.
مهم‌ترین مشکلاتی که برطرف شده‌اند
فهرست اصلاحات این نسخه نسبتاً طولانی است. مهم‌ترین موارد به زبان ساده این‌ها هستند:
- ضعف در فرایند به‌روزرسانی: مشکلی که می‌توانست در بازه زمانی ارتقا به اجرای کد از راه دور منجر شود؛ جدی‌ترین مورد این فهرست.
- چندین آسیب‌پذیری XSS ذخیره‌شده: از جمله در نشانه‌گذاری دستکاری‌شده بلوک‌ها، Interactivity API، بخش سفارشی‌ساز، بلوک دسته‌بندی‌ها، بلوک‌های لیست پخش و تصویر و بلوک‌های صفحه‌بندی دیدگاه‌ها.
- درخواست‌های حذف داده‌های حریم خصوصی: امکان ساخت این درخواست‌ها به شکلی که به XSS ذخیره‌شده ختم شود.
- نام کاربری‌های دستکاری‌شده: که می‌توانستند باعث XSS شوند.
- حمله منع سرویس ذخیره‌شده در Interactivity API.
- افشای تغییرات منتشرنشده سفارشی‌ساز برای کاربران واردنشده.
- دسترسی نادرست به یادداشت‌ها: کاربرانی که اجازه ویرایش یک نوشته را نداشتند، می‌توانستند یادداشت‌های آن را بخوانند.
- به‌روزرسانی گواهی‌های ریشه همراه وردپرس به دلیل ابطال گواهی‌های eMudhra.
XSS ذخیره‌شده یعنی چه؟
در این نوع حمله، کد مخرب داخل پایگاه داده سایت ذخیره می‌شود و هر بار که کاربر یا مدیر صفحه مربوط را باز کند، در مرورگرش اجرا می‌شود. نتیجه می‌تواند سرقت نشست مدیر، تغییر محتوا یا تزریق لینک‌های ناخواسته باشد. به همین دلیل حتی اگر یک آسیب‌پذیری به‌تنهایی کوچک به نظر برسد، مجموعه آن‌ها برای سایت‌های پربازدید یا سایت‌هایی با چند نویسنده خطر واقعی ایجاد می‌کند.
چطور وردپرس را به 7.1.4 به‌روزرسانی کنیم؟
طبق اطلاعیه رسمی، سایت‌هایی که به‌روزرسانی خودکار پس‌زمینه در آن‌ها فعال است، به‌طور خودکار ارتقا پیدا می‌کنند. اما بهتر است خودتان مطمئن شوید. مراحل پیشنهادی:
- پیش از هر کاری از فایل‌ها و پایگاه داده سایت نسخه پشتیبان کامل بگیرید.
- وارد پیشخوان وردپرس شوید و به بخش «به‌روزرسانی‌ها» بروید.
- روی دکمه «هم‌اکنون به‌روزرسانی کنید» کلیک کنید و تا پایان کار صفحه را نبندید.
- پس از پایان، نسخه را در پایین پیشخوان یا بخش «درباره وردپرس» بررسی کنید.
- صفحات اصلی، فرم‌ها و فروشگاه را یک بار تست کنید تا از سازگاری افزونه‌ها مطمئن شوید.
اگر سایت روی هاست اشتراکی است و دسترسی به‌روزرسانی خودکار ندارید، می‌توانید بسته نسخه جدید را از مخزن رسمی وردپرس دریافت و به‌صورت دستی جایگزین کنید؛ البته بدون دست زدن به پوشه wp-content و فایل تنظیمات.
چه کسانی باید عجله کنند؟
سایت‌هایی که چند نویسنده یا مشارکت‌کننده دارند، سایت‌هایی که ثبت‌نام کاربر در آن‌ها باز است و فروشگاه‌های اینترنتی بیشترین ریسک را دارند؛ چون بسیاری از این آسیب‌پذیری‌ها از طریق محتوای واردشده توسط کاربران فعال می‌شوند. اگر هنوز روی شاخه‌های قدیمی مثل 6.x هستید، دست‌کم نسخه اصلاحی همان شاخه را نصب کنید و برنامه‌ای برای مهاجرت به آخرین نسخه بچینید.
به‌روزرسانی امنیتی چند دقیقه وقت می‌گیرد، اما بازیابی یک سایت آلوده ممکن است روزها طول بکشد.
جمع‌بندی
وردپرس 7.1.4 نسخه‌ای بدون زرق‌وبرق اما ضروری است که مجموعه‌ای از حفره‌های XSS، یک ضعف جدی در فرایند ارتقا و چند مشکل افشای اطلاعات را می‌بندد. اگر مدیر سایت هستید، همین امروز نسخه پشتیبان بگیرید، به‌روزرسانی را انجام دهید و بعد از آن افزونه‌ها و قالب را هم به‌روز نگه دارید؛ چون امنیت سایت فقط به هسته وردپرس محدود نمی‌شود.
