# تحديث ووردبريس 7.1.4: ثغرة مستغلة فعليًا تستدعي التحديث الآن

- الرابط: https://nashrut.com/%d8%aa%d8%ad%d8%af%d9%8a%d8%ab-%d9%88%d9%88%d8%b1%d8%af%d8%a8%d8%b1%d9%8a%d8%b3-%d8%ab%d8%ba%d8%b1%d8%a9-%d9%85%d8%b3%d8%aa%d8%ba%d9%84%d8%a9-%d8%a7%d9%84%d8%a2%d9%86/
- الناشر: نشرات (nashrut.com)
- التصنيف: انترنت وكمبيوتر
- الكاتب: فريق تحرير نشرات
- تاريخ النشر: 2026-11-06
- آخر تحديث: 2026-11-06
- الكلمات المفتاحية: CISA، أمن المواقع، إدارة المواقع، تحديثات الأمان، ووردبريس

> تحديث ووردبريس 7.1.4 الآن يسد ثغرة CVE-2026-119977 المستغلة أثناء عملية التحديث. تعرّف على خطوات التحديث الآمن والمواعيد المهمة لمواقعك.

## باختصار

- ثغرة CVE-2026-119977 في عملية ترقية ووردبريس تحمل درجة CVSS 8.1، ويمكن استغلالها أثناء التحديث.
- أدرجت CISA الثغرة في قائمة الاستغلال الفعلي بتاريخ 3 نوفمبر 2026، وحددت للجهات الفيدرالية الأمريكية مهلة تنتهي في 6 نوفمبر.
- صدر الإصدار 7.1.4 في 28 أكتوبر 2026 ويعالج الثغرة مع عدد من إصلاحات XSS.
- ثبّت 7.1.4 من Dashboard > Updates، ثم تحقق من رقم الإصدار بعد التثبيت.
- لا تعتمد على التحديث التلقائي وحده، بل تأكد من اكتماله بنفسك.

إذا كان موقعك يعمل بووردبريس، فالخطوة الأولى اليوم هي تحديث ووردبريس 7.1.4 قبل أي إجراء آخر. صدر هذا الإصدار الأمني في 28 أكتوبر 2026 لمعالجة ثغرة مسجلة باسم CVE-2026-119977، أدرجتها وكالة الأمن السيبراني الأمريكية CISA في قائمة الثغرات المستغلة فعليًا بتاريخ 3 نوفمبر، ومنحت الجهات الفيدرالية الأمريكية حتى اليوم، 6 نوفمبر، لإصلاحها.

الخبر لا يتعلق بإضافة أو قالب، بل بعملية تحديث ووردبريس نفسها. أي أن الموقع قد يكون معرضًا للخطر في اللحظة التي يحاول فيها تثبيت التحديث، وهذا ما يجعل الأمر مختلفًا عن معظم التحذيرات المعتادة.

## ما الثغرة وما الذي يجعلها خطيرة

تقع الثغرة في آلية الترقية داخل نواة ووردبريس. بحسب إعلان الإصدار على موقع WordPress.org، أبلغ عنها الباحث Umut Bayram، وهي من نوع «سباق الوقت» المعروف بـ time-of-check/time-of-use، أي أن النظام يتحقق من شيء ثم يستخدمه لاحقًا، وفي الفاصل بين اللحظتين قد يتمكن مهاجم من التلاعب به.

صُنّفت الثغرة بدرجة 8.1 وفق نظام CVSS. وبحسب CISA كما نقلها موقع The Hacker News، يستطيع مهاجمون غير مسجلين الدخول تنفيذ شيفرة على الخادم خلال نافذة الترقية. ويمكن تلخيص أهم ما يعنيه ذلك في ثلاث نقاط:

- لا يحتاج المهاجم إلى حساب في ووردبريس.

- الهجوم لا ينجح إلا لبضع ثوانٍ أثناء فك ضغط حزمة التحديث الأساسية.

- ترى شركة Patchstack أن الاستغلال الفعلي في الواقع صعب التنفيذ.

## لماذا يهم هذا الخبر المواقع العربية

يعتمد على ووردبريس عدد كبير من المدونات ومواقع الأخبار والمتاجر الصغيرة في العالم العربي. وتبدو تحديثات ووردبريس روتينية، لذلك يسهل تأجيلها دون انتباه. وقد غطّى موقع نشرات مؤخرًا ثغرات في PHP وكروم وiOS وويندوز، لكنه لم يتناول هذه الثغرة في ووردبريس قبل اليوم.

ولم نجد حتى إعداد هذا المقال تنبيهًا من الهيئة الوطنية للأمن السيبراني (SAUDICERT) بشأن ووردبريس، كما لم نتحقق مما إذا كانت مواقع حكومية أو تجارية كبيرة في السعودية ما زالت تعمل بنسخ غير محدّثة. لذلك تبقى متابعة قناة التنبيهات الرسمية للهيئة خطوة مفيدة.

وإن كان موقعك يعمل بلغة PHP، فراجع أيضًا دليلنا: [ثغرة PHP الخطيرة: كيف تعرف إصدار موقعك وتحدّثه قبل الاختراق الآن](https://nashrut.com/%d8%ab%d8%ba%d8%b1%d8%a9-php-%d9%83%d9%8a%d9%81-%d8%aa%d8%ad%d8%af%d8%ab-%d9%85%d9%88%d9%82%d8%b9%d9%83/).

## كيف يحدث الاستغلال ولماذا لا يعني ذلك الاطمئنان

تقدّر Patchstack صعوبة الاستغلال في العالم الحقيقي لأن النافذة الزمنية قصيرة جدًا. لكن الرصد الميداني يشير إلى أن المهاجمين بدؤوا التجربة مبكرًا. فقد رصدت Wordfence محاولات استغلال بدأت بعد وقت قصير من الإصدار. ونقل موقع The Hacker News أن حوادث استغلال رُصدت في 30 أكتوبر، بينما تذكر إحدى المدونات الأمنية أن الهجمات بدأت في يوم الإعلان نفسه، لذلك يبقى تاريخ بدء الاستغلال محل خلاف بين المصادر.

ونقل The Hacker News أيضًا أن Wordfence رصدت أكثر من 18,500 طلب موجّه إلى مسارات ملف setup-config.php المجهّزة مرحليًا خلال أول 21 ساعة بعد الإعلان. ولا تكشف هذه الأرقام كم موقعًا تعرّض للاختراق فعلًا، فهذه المعلومة غير متوفرة في المصادر التي اطلعنا عليها.

## تحديث ووردبريس 7.1.4 خطوة بخطوة

توصي ووردبريس في إعلان الإصدار بأن تُحدَّث المواقع فورًا، بالنص: «it is recommended that you update your sites immediately». اتبع هذه الخطوات بالترتيب:

![قائمة تحقق مكتوبة بجانب حاسوب محمول أثناء مراجعة خطوات تحديث الموقع](https://nashrut.com/wp-content/uploads/2026/11/%d8%aa%d8%ad%d8%af%d9%8a%d8%ab-%d9%88%d9%88%d8%b1%d8%af%d8%a8%d8%b1%d9%8a%d8%b3-%d8%ab%d8%ba%d8%b1%d8%a9-%d9%85%d8%b3%d8%aa%d8%ba%d9%84%d8%a9-%d8%a7%d9%84%d8%a2%d9%86-2-0db2f5-1600.webp)تبدأ عملية التحديث الآمنة بقائمة تحقق بسيطة: نسخة احتياطية، ثم التحديث، ثم التأكد من رقم الإصدار.

- انسخ ملفات موقعك وقاعدة بياناته احتياطيًا قبل التحديث. هذه نصيحة وقائية تكررها أدلة التحديث، وليست شرطًا من ووردبريس نفسه.

- سجّل الدخول إلى لوحة التحكم، وادخل إلى Dashboard > Updates، ثم اضغط Update Now لتثبيت الإصدار 7.1.4. يمكنك أيضًا تنزيل الإصدار من موقع WordPress.org.

- إن كان موقعك على فرع أقدم، فثبّت النسخة المصححة لفرعك، مثل 7.0.8 أو 6.9.11.

- تأكد من الإصدار المثبّت من خلال Dashboard > Updates أو من صفحة Site Health.

- حدّث الإضافات المرتبطة بمحرر الكتل في الجلسة نفسها، لأن عددًا من إصلاحات XSS يقع في شيفرة الكتل.

- إن كنت تستخدم Wordfence، ففعّل خيار Extended Protection، لأن الاستغلال يستهدف ملفات PHP مباشرة قبل تحميل ووردبريس.

- يقترح أحد المصادر منع الوصول إلى مجلد wp-content/upgrade على مستوى الخادم. لا تفعل ذلك قبل استشارة مزود الاستضافة.

- ستبدأ التحديثات التلقائية وحدها للمواقع التي فعّلتها، لكن لا تفترض أنها اكتملت. تحقق من رقم الإصدار بنفسك.

## إصلاحات أخرى في الإصدار وسلسلة التحديثات

لا تقتصر إصلاحات هذا الإصدار على الثغرة الأساسية. فهو يعالج عددًا من ثغرات XSS المخزّنة في محرر الكتل وواجهة Interactivity API وأداة التخصيص Customizer وأدوات الخصوصية. كما يجدّد الشهادات الجذرية المرفقة به بعد إلغاء شهادة تابعة لشركة eMudhra.

ويُعد 7.1.4 الإصدار الأمني الرابع في فرع 7.1 منذ إطلاقه: 7.1.1 في 17 سبتمبر، و7.1.2 في 22 سبتمبر، و7.1.3 في 6 أكتوبر، ثم 7.1.4 في 28 أكتوبر. وطُبّقت الإصلاحات على كل فرع ما زال مؤهلًا للتحديثات الأمنية، وصولًا إلى الفرع 4.7. أما معظم الإصلاحات الأخرى فتتطلب حسابًا مسجلًا بصلاحية مساهم (Contributor) على الأقل، بحسب موقع The Repository.

## أرقام ومواعيد يجب أن تعرفها

| البند | التفاصيل |

| إصدار ووردبريس الأمني | 7.1.4 بتاريخ 28 أكتوبر 2026 |

| درجة الخطورة | CVSS 8.1 |

| إدراج CISA للثغرة | 3 نوفمبر 2026 |

| مهلة الجهات الفيدرالية الأمريكية | 6 نوفمبر 2026 |

| قاعدة الجدار الناري في Wordfence | الإصدار المدفوع: 28 أكتوبر، والمجاني: 27 نوفمبر 2026 |

تختلف أعداد الثغرات المصلّحة بين المصادر. يذكر توثيق ووردبريس وأغلب التقارير أن الإصدار يعالج 22 ثغرة، بينما تعدّها Patchstack 17 ضمن تجميعها الخاص، ويذكر أحد المدونات 12 بندًا. إن احتجت الرقم الدقيق فارجع إلى صفحة الإصدار على موقع ووردبريس مباشرة.

كذلك تذكر بعض المصادر أن CISA أدرجت الثغرة في 2 نوفمبر، لكن صفحة CISA نفسها مؤرخة في 3 نوفمبر، لذلك نعتمد هذا التاريخ. ولم نتحقق من موعد نشر سجل الثغرة في قاعدة CVE.org، إذ أشارت Brandefense إلى عدم وجوده في 31 أكتوبر.

## ما الذي تفعله بعد هذا التحديث

التحديث الآن يغلق الثغرة، لكن الروتين الدائم هو ما يحمي الموقع على المدى الطويل. فعّل التحقق بخطوتين لحسابات المدراء، وتعرّف على طريقته في [التحقق بخطوتين: كيف تفعّله على حساباتك وتحمي بريدك من الاختراق](https://nashrut.com/%d8%a7%d9%84%d8%aa%d8%ad%d9%82%d9%82-%d8%a8%d8%ae%d8%b7%d9%88%d8%aa%d9%8a%d9%86-%d8%aa%d9%81%d8%b9%d9%8a%d9%84-%d8%ad%d9%85%d8%a7%d9%8a%d8%a9-%d8%a7%d9%84%d8%ad%d8%b3%d8%a7%d8%a8%d8%a7%d8%aa/). واحتفظ بنسخ احتياطية منتظمة خارج الخادم نفسه، وراجع الإضافات والقوالب بين فترة وأخرى، وأزل ما لم تعد تستخدمه.

وإن كنت لا تحتفظ بنسخة احتياطية لجهازك الشخصي، فابدأ بدليلنا [نسخ احتياطي للكمبيوتر: خطوات عملية لحماية ملفاتك من الضياع](https://nashrut.com/%d9%86%d8%b3%d8%ae-%d8%a7%d8%ad%d8%aa%d9%8a%d8%a7%d8%b7%d9%8a-%d9%84%d9%84%d9%83%d9%85%d8%a8%d9%8a%d9%88%d8%aa%d8%b1-%d8%af%d9%84%d9%8a%d9%84-%d8%b9%d9%85%d9%84%d9%8a/).

وإن ظهرت لديك ملفات أو مستخدمون لا تعرفهم بعد التحديث، فاطلب مساعدة مختص أمن أو مزود الاستضافة قبل أي خطوة أخرى.

## أسئلة شائعة

### هل يجب تحديث ووردبريس إلى 7.1.4 حتى لو كان موقعي صغيرًا؟

نعم. الثغرة لا تتطلب حسابًا في ووردبريس، وتوصي ووردبريس بالتحديث فورًا. والتحديث نفسه يستغرق دقائق قليلة من لوحة التحكم.

### كيف أعرف إصدار ووردبريس الذي أستخدمه؟

ادخل إلى لوحة التحكم وافتح Dashboard > Updates، أو راجع صفحة Site Health. ستجد رقم الإصدار المثبّت هناك بعد التحديث، وهو يجب أن يكون 7.1.4 أو النسخة المصححة لفرعك.

### هل تشملني الإصلاحات إذا كان موقعي يعمل بنسخة أقدم؟

الإصلاحات طُبّقت على كل فرع ما زال مؤهلًا للتحديثات الأمنية، وصولًا إلى الفرع 4.7. إن كان موقعك على فرع أقدم، فثبّت النسخة المصححة لفرعك مثل 7.0.8 أو 6.9.11. أما الفروع التي لم تعد تتلقى تحديثات أمنية فلا تشملها هذه الإصلاحات.

### هل تكفي التحديثات التلقائية لحمايتي؟

قد تبدأ التحديثات التلقائية وحدها للمواقع التي فعّلتها، لكن لا تفترض أنها اكتملت. تحقق من رقم الإصدار بنفسك بعد أي تحديث، فهذا هو الدليل الوحيد المعتمد على اكتمال التحديث.

### ما معنى إدراج الثغرة في قائمة CISA؟

قائمة الثغرات المستغلة المعروفة (Known Exploited Vulnerabilities) تصدرها وكالة CISA الأمريكية، وإدراج الثغرة فيها يعني وجود دليل على استغلالها فعليًا. وتلزم توجيهات الوكالة الجهات الفيدرالية الأمريكية بمعالجتها ضمن مهل محددة، وهنا المهلة تنتهي في 6 نوفمبر 2026.

### هل تأثرت مواقع حكومية سعودية بهذه الثغرة؟

لم نتحقق من ذلك. ولم نجد حتى إعداد هذا المقال تنبيهًا من الهيئة الوطنية للأمن السيبراني بشأن ووردبريس، لذلك تبقى متابعة قناتها الرسمية للتنبيهات هي المرجع الموثوق.

## المصادر

1. [WordPress 7.1.4](https://wordpress.org/news/2026/10/wordpress-7-1-4/)
2. [CISA Adds One Known Exploited Vulnerability to Catalog (3 Nov 2026)](https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog)
3. [CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades (The Hacker News)](https://thehackernews.com/2026/11/cisa-confirms-hackers-exploiting.html)
4. [WordPress 7.1.4 Security Update: What Site Owners Should Check (Brandefense)](https://brandefense.io/security-news/wordpress-7-1-4-security-update-upgrade-window/)
5. [Attackers Actively Probing for Upgrade-Window RCE Vulnerability in WordPress Core (Malware News / Wordfence)](https://malware.news/t/attackers-actively-probing-for-upgrade-window-rce-vulnerability-in-wordpress-core/127048)
6. [WordPress CVE-2026-119977: CISA Sets Nov. 6 Deadline (Tech Insider)](https://tech-insider.org/wordpress-cve-2026-119977-cisa-kev-7-1-4-deadline-nov-6-2026/)
7. [WordPress 7.1.4 Fixes 22 Security Vulnerabilities, Including RCE Flaw Under Active Attack (GBHackers)](https://gbhackers.com/wordpress-7-1-4-fixes-22-security-vulnerabilities/)
8. [WordPress 7.1.4 Security Release: What Was Fixed (NexterWP)](https://nexterwp.com/blog/wordpress-7-1-4-security-release/)
9. [WordPress 7.1.4 Security Update Fixes 22 Vulnerabilities (HostingSeekers)](https://www.hostingseekers.com/blog/wordpress-7-1-4-security-release/)
10. [WordPress 7.1.4: 22 security fixes, including one in the updater itself (Wordify)](https://wordify.com/blog/wordpress-7-1-4-security-release/)
11. [WordPress 7.1.4 Patches 22 Vulnerabilities in Seventh Core Security Release Since July (The Repository)](https://www.therepository.email/wordpress-7-1-4-patches-22-vulnerabilities-in-seventh-core-security-release-since-july)
12. [WordPress 7.1.4 Security Update Fixes 22 Vulnerabilities, Including Updater RCE (WindowsForum)](https://windowsforum.com/news/wordpress-7-1-4-security-update-fixes-22-vulnerabilities-including-updater-rce.450316/)