یک باور رایج بین مدیران سایت این است که «به‌روزرسانی یعنی امنیت». آسیب‌پذیری تازهٔ هستهٔ وردپرس با شناسهٔ CVE-2026-119977 نشان می‌دهد خودِ لحظهٔ به‌روزرسانی هم می‌تواند در ورود مهاجم باشد. CISA روز ۳ نوامبر ۲۰۲۶ این نقص را بر پایهٔ شواهد بهره‌برداری فعال در فهرست KEV گذاشت.
وردپرس هنگام به‌روزرسانی با بستهٔ کامل، فایل‌های نسخهٔ جدید را موقتاً در پوشه‌ای زیر wp-content/upgrade باز می‌کند. نام این پوشه قابل حدس بود و از وب هم در دسترس قرار داشت. در این نسخهٔ موقت، نصب‌کنندهٔ وردپرس وجود دارد اما فایل پیکربندی نه؛ پس نصب‌کننده فکر می‌کند با یک سایت تازه روبه‌روست. مهاجمی که در همان چند ثانیه به آن برسد، بدون هیچ رمزی می‌تواند به اجرای کد روی سرور برسد.
چند واقعیت کلیدی:
نسخه‌های 4.7.0 تا 7.1.3 آسیب‌پذیرند و اصلاح در 7.1.4 (۲۸ اکتبر) و وصله‌های شاخه‌ای مثل 7.0.8، 6.9.11 و 6.8.12 آمده است.
Wordfence امتیاز CVSS 8.1 داده، در حالی که وردپرس شدت را «کم» اعلام کرده بود.
Wordfence در ۲۱ ساعت نخست بیش از ۱۸٬۵۰۰ درخواست به مسیرهای نصب‌کنندهٔ موقت ثبت کرد.
چون درخواست مستقیم به یک فایل PHP می‌رود، افزونه‌های امنیتی داخل وردپرس ممکن است آن را نبینند.
نکته‌ای که کمتر به آن توجه می‌شود این است که نصب وصله هم با کد قدیمی انجام می‌شود. پس ترتیب درست این است:
اول دسترسی وب به پوشهٔ wp-content/upgrade را در خود وب‌سرور ببندید.
بعد به نسخهٔ اصلاح‌شدهٔ شاخهٔ خود بروید و نسخه را واقعاً بررسی کنید.
هر فایل PHP باقی‌مانده در این پوشه به‌جز index.php را بررسی کنید.
لاگ وب‌سرور را برای درخواست‌های setup-config.php زیر این مسیر بگردید.
حساب‌های مدیر و افزونه‌های ناآشنا را بازبینی کنید.
در ارزیابی‌هایی که انجام داده‌ام، بیشتر تیم‌ها برای روز حمله برنامه دارند اما برای روز نگه‌داری نه. هر عملیات نگه‌داری، از به‌روزرسانی تا پشتیبان‌گیری، فایل‌ها و مسیرهای موقتی می‌سازد که باید از بیرون دیده نشوند. فیلتر کردن مسیرهای حساس در لایهٔ جلوی وب‌سرور و پایش لاگ در همان ساعت‌ها، ارزان‌ترین بیمه است.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در این نشانی منتشر شده است؛ آن را در نوار آدرس مرورگر وارد کنید: symantecland.com/wordpress-core-upgrade
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
