وردپرس با افزونه و قالب خراب هک میشود؛ افزونه هایی با باگ بحرانی

وردپرس با افزونه و قالب هک میشود؛ اما نه به این معنی که نصب هر افزونه یا استفاده از هر قالب، سایت را ناامن می کند. یک نسخه آسیب پذیر، یک قابلیت حساس با تنظیم نادرست یا یک بسته دستکاری شده می تواند مسیر ورود مهاجم باشد؛ حتی وقتی رمز مدیر طولانی است و هسته وردپرس را به روز نگه داشته اید. بنابراین پرسش کاربردی این است: کدام جزء سایت آسیب پذیر است، چه نسخه ای نصب شده و برای بستن مسیر نفوذ چه کاری باید انجام دهیم؟

در این راهنما، علاوه بر توضیح نقش افزونه و قالب در هک وردپرس، 9 افزونه دارای آسیب پذیری بحرانی مستند در یک سال اخیر را با شناسه CVE، امتیاز شدت، نسخه آسیب پذیر و نسخه رفع همان نقص معرفی می کنیم. هدف، کمک به مدیر سایت برای تصمیم درست است؛ نام بردن از یک افزونه به معنی آلوده بودن همه نسخه ها یا بی اعتبار بودن توسعه دهنده آن نیست.

تاریخ بررسی: 2026-11-05، برابر با 14 آبان 1405. بازه این گزارش از 2025-11-05 تا 2026-11-05 است. معیار زمانی، تاریخ انتشار عمومی رکورد یا گزارش مرجع درج شده در جدول است؛ تاریخ کشف خصوصی و تاریخ عرضه اصلاحیه ممکن است متفاوت باشد. این فهرست، گزیده ای از موارد مهم و تایید شده است و ادعای پوشش تمام آسیب پذیری های این بازه را ندارد.

چطور وردپرس از طریق افزونه و قالب هک می شود؟

افزونه و قالب فقط ظاهر یا امکانات جانبی سایت نیستند؛ بسیاری از آن ها کد سمت سرور اجرا می کنند، به پایگاه داده دسترسی دارند، فایل می نویسند و درخواست های کاربران را پردازش می کنند. اگر در یکی از این مسیرها اعتبارسنجی ورودی، کنترل دسترسی یا احراز هویت ناقص باشد، مهاجم ممکن است کاری را انجام دهد که در حالت عادی فقط مدیر سایت اجازه انجام آن را دارد.

برای مثال، ابزار دریافت فایل باید نوع فایل، محل ذخیره و مجوز درخواست کننده را بررسی کند. فرم ثبت نام نباید اجازه دهد کاربر نقش مدیریتی برای خودش انتخاب کند. یک اتصال مدیریت از راه دور نیز باید هویت درخواست کننده را واقعا احراز کند. در نتیجه، تغییر آدرس ورود یا مخفی کردن نام کاربری به تنهایی چنین نقص هایی را برطرف نمی کند.

فرق افزونه آسیب پذیر با افزونه آلوده چیست؟

افزونه آسیب پذیر می تواند محصولی معتبر باشد که یک خطای امنیتی در نسخه مشخصی از آن کشف شده است. افزونه آلوده یا دستکاری شده ممکن است عمدا کد مخرب داشته باشد. در حالت اول، اصلاحیه معتبر و بررسی آثار احتمالی نفوذ اهمیت دارد؛ در حالت دوم، اعتماد به سلامت بسته نیز از بین رفته و باید فایل ها با نسخه رسمی جایگزین شوند و سایت بررسی شود. شماره نسخه روی یک بسته ناشناس، به تنهایی اصالت کد آن را ثابت نمی کند.

نقش قالب و افزونه های همراه آن

قالب هم می تواند مسیر ورود باشد، به ویژه وقتی فرم، آپلود، تنظیمات AJAX یا امکانات اجرایی پیچیده دارد. علاوه بر خود قالب، افزونه هایی که همراه آن نصب شده اند باید جداگانه بررسی شوند. گاهی قالب به روز شده است اما افزونه همراه آن هنوز نسخه قدیمی دارد. نام Bricksforge در جدول این مقاله مربوط به یک افزونه است؛ آن را نباید با خود قالب Bricks یکی دانست. همچنین ACF Extended افزونه مکمل ACF است و گزارش آن را نباید به همه نسخه های افزونه اصلی ACF تعمیم داد.

منظور از باگ بحرانی افزونه وردپرس چیست؟

در این مقاله، بحرانی به امتیاز CVSS از 9.0 تا 10.0 در منبع معرفی شده اشاره دارد. این امتیاز شدت فنی نقص را توصیف می کند؛ احتمال حمله به سایت شما علاوه بر شدت، به نسخه نصب شده، فعال بودن قابلیت آسیب پذیر، دسترسی لازم و وجود سوء استفاده واقعی بستگی دارد. اولویت عملیاتی یک پایگاه امنیتی هم ممکن است با برچسب شدت CVSS یکسان نباشد.

سه نوع پیامد در گزارش های بحرانی زیاد دیده می شود: اجرای کد از راه دور، بارگذاری فایل خطرناک و دسترسی مدیریتی بدون مجوز. هیچ کدام لزوما به شکستن رمز عبور نیاز ندارند. برای همین، رمز قوی و ورود دو مرحله ای لازم هستند اما جای نصب اصلاحیه امنیتی را نمی گیرند.

فهرست افزونه های دارای باگ بحرانی در یک سال اخیر

راهنمای جدول: عبارت «تا» شامل نسخه آخر ذکر شده هم می شود. ستون اصلاحیه، اولین نسخه رفع همان CVE را نشان می دهد؛ این ستون توصیه به نصب یک نسخه قدیمی در امروز نیست. برای استفاده عملی، آخرین نسخه پایدار رسمی و سازگار را دریافت کنید و سایر هشدارهای جدید همان محصول را نیز بررسی کنید. امتیاز هر ردیف از مرجع لینک شده آمده و ممکن است میان پایگاه ها تفاوت داشته باشد.

نکات مهم درباره افزونه های این فهرست

1. Advanced Custom Fields: Extended

گزارش Wordfence درباره CVE-2025-13486، اجرای کد از راه دور بدون ورود را در بازه 0.9.0.5 تا 0.9.1.1 مطرح می کند. نسخه 0.9.2 این نقص مشخص را رفع کرده است. مدیر سایت باید نام دقیق افزونه مکمل را بررسی کند؛ شباهت نام آن با ACF نباید باعث حذف یا متهم کردن محصول اشتباه شود.

2. Modular DS

گزارش Patchstack برای CVE-2026-23550 از ارتقای دسترسی بدون ورود و مشاهده حمله واقعی خبر می دهد. اصلاح اولیه در 2.5.2 عرضه شد، اما همان گزارش در 16 ژانویه یک مسیر حمله دیگر با شناسه CVE-2026-23800 را اضافه کرد و حداقل نسخه 2.6.0 را توصیه کرد. این نمونه نشان می دهد خواندن فقط تیتر خبر اولیه کافی نیست و باید به به روز رسانی گزارش امنیتی نیز توجه کرد.

3. WPvivid Backup & Migration

در CVE-2026-1357، امکان بارگذاری فایل دلخواه مطرح بود؛ اما شرط مهم آن وجود کلید ساخته شده برای دریافت بکاپ از سایت دیگر است. طبق گزارش Wordfence، این قابلیت به صورت پیش فرض خاموش است و اعتبار کلید حداکثر 24 ساعت تعیین می شود. بنابراین نمی توان همه نصب های افزونه را بدون بررسی تنظیمات، در وضعیت یکسان دانست. اصلاح این نقص در 0.9.124 ارائه شد.

4. User Registration & Membership

رکورد CVE-2026-1492 نشان می دهد کنترل ناکافی نقش کاربر در مسیر ثبت نام عضویت می توانست به ایجاد حساب مدیر منجر شود. نسخه 5.1.3 نقص مذکور را رفع کرد. اگر سایت شما در زمان آسیب پذیری از این مسیر استفاده می کرده، بررسی حساب های مدیر، زمان ساخت کاربران و تغییر نقش ها در کنار به روز رسانی اهمیت دارد.

5. Breeze Cache

برای CVE-2026-3844، Wordfence سوء استفاده واقعی را از 22 آوریل 2026 گزارش کرده است. شرط بهره برداری، فعال بودن گزینه Host Files Locally – Gravatars بود که پیش فرض خاموش است. نسخه 2.4.5 این نقص را برطرف کرد. ابزار افزایش سرعت نیز باید مانند فرم ساز یا افزونه فروشگاه در برنامه نگهداری امنیتی قرار بگیرد.

6. Burst Statistics

در CVE-2026-8181، نسخه های 3.4.0 تا 3.4.1.1 درگیر نقص احراز هویت بودند. گزارش Wordfence می گوید مهاجم با دانستن نام یک مدیر می توانست درخواست هایی با سطح دسترسی او انجام دهد. اصلاحیه 3.4.2 عرضه شد. این مثال یادآوری می کند که یک افزونه آمارگیر هم ممکن است به بخش های حساس سایت متصل باشد.

7. GiveWP

Patchstack برای CVE-2026-82222، اجرای کد از راه دور با امتیاز 10.0 و وضعیت شناخته شده به عنوان مورد سوء استفاده را ثبت کرده است. اصلاح همان نقص در 4.16.7.2 ارائه شد. با این حال، یک گزارش جداگانه درباره CVE-2026-97196 نسخه های تا 4.16.9 را درگیر نقص احراز هویت با امتیاز 9.1 معرفی می کند که در 4.17.0 رفع شد. پس توقف روی اولین اصلاحیه تاریخی، راهبرد مناسبی برای نگهداری امروز نیست.

8. Bricksforge

برای CVE-2026-85097، نسخه های تا 3.1.8.9 آسیب پذیر معرفی شدند و اصلاحیه 3.1.8.10 عرضه شد. گزارش بررسی حملات Patchstack مشاهده سوء استفاده از 7 اکتبر 2026 را بیان می کند. پیامد، بارگذاری فایل و امکان اجرای کد بدون ورود بود؛ به روز رسانی همراه با بررسی فایل های غیرمنتظره برای سایت های در معرض خطر ضروری است.

9. Uncanny Toolkit for LearnDash

رکورد CVE-2026-119096 در 30 اکتبر 2026، نقص احراز هویت بدون ورود را تا نسخه 3.8.2 ثبت کرده و نسخه 3.8.3 را اصلاحیه معرفی می کند. Patchstack برای این رکورد برچسب سوء استفاده شناخته شده دارد. این افزونه مکمل را نباید با خود LearnDash یکسان دانست؛ نام دقیق محصول و شماره نسخه باید با هشدار تطبیق داده شود.

اگر یکی از این افزونه ها روی سایت نصب است چه کنیم؟

ابتدا نام، نسخه و منبع دریافت بسته را ثبت کنید. سپس نسخه را با بازه آسیب پذیر و تنظیمات پیش شرط گزارش مقایسه کنید. اگر سایت در معرض نقص قرار دارد، کار را به زمان نامعلوم موکول نکنید. برای سایت فعال، از فایل ها و پایگاه داده نسخه پشتیبان بگیرید و اصلاحیه رسمی را با آزمون کوتاه عملکرد اعمال کنید. پشتیبان فعلی در زمان احتمال نفوذ، لزوما سالم نیست و باید جدا از بکاپ سالم قبلی نگهداری شود.

1. موجودی بگیرید: افزونه های فعال، غیرفعال، قالب والد و قالب فرزند و بسته های همراه را ثبت کنید.
2. اولویت را مشخص کنید: آسیب پذیری بدون نیاز به ورود و دارای حمله فعال، رسیدگی فوری تری می خواهد.
3. بسته رسمی را دریافت کنید: نسخه رفع نقص را از توسعه دهنده یا مخزن معتبر بگیرید، نه فایل ناشناس با شماره نسخه جدید.
4. اصلاح و آزمون کنید: پس از به روز رسانی، ورود، فرم ها، ایمیل و در سایت فروشگاهی سبد خرید و پرداخت را آزمایش کنید.
5. اگر اصلاحیه ندارید: درباره غیرفعال سازی یا حذف موقت جزء آسیب پذیر و جایگزین سازگار تصمیم بگیرید؛ تاثیر آن بر سایت را بررسی کنید.
6. ردپای نفوذ را بررسی کنید: کاربران مدیر ناشناس، فایل های تازه و تغییرات غیرمنتظره را با لاگ ها و نسخه سالم مقایسه کنید.

اگر تیم نگهداری ندارید، در انتخاب هاست وردپرس مدیریت شده بپرسید چه کسی هشدار امنیتی را دریافت می کند، چه کسی اصلاحیه را نصب می کند و زمان پاسخ چقدر است. عبارت مدیریت شده بدون تعیین مسئولیت، تضمین نمی کند افزونه آسیب پذیر شما در زمان مناسب اصلاح شود.

آیا به روز رسانی برای سایت هک شده کافی است؟

خیر. اصلاحیه مسیر ورود شناخته شده را می بندد، اما ممکن است فایل مخرب، حساب مدیر اضافه یا تغییر پایگاه داده از قبل باقی مانده باشد. در صورت مشاهده نشانه های نفوذ، ابتدا شواهد و لاگ ها را حفظ کنید، دسترسی خطرناک را محدود کنید و از متخصص بخواهید دامنه رخداد را مشخص کند. پاک کردن عجولانه فایل ها می تواند تشخیص علت را سخت کند.

در بازیابی، زمان احتمالی شروع نفوذ را با تاریخ بکاپ ها تطبیق دهید. بازگرداندن نسخه آلوده یا برگشت به نسخه قدیمی افزونه، مشکل را تکرار می کند. پس از پاک سازی و بستن مسیر ورود، رمزها، نشست ها و کلیدهای در معرض خطر باید بازبینی و در صورت نیاز تعویض شوند. در فروشگاه، بازگردانی کامل دیتابیس می تواند سفارش های جدید را از بین ببرد؛ هماهنگی با مسئول فنی و کسب و کار لازم است.

قالب نال شده و افزونه بدون استفاده چه خطری دارند؟

وقتی بسته از منبع نامطمئن آمده باشد، بررسی شماره نسخه کافی نیست. ممکن است کد اضافه شده در فایل های قالب یا افزونه وجود داشته باشد. راهنمای رسمی وردپرس هم بر دریافت نرم افزار از منابع قابل اعتماد تاکید دارد. برای بسته تجاری، مجوز معتبر و مسیر دریافت به روز رسانی اهمیت عملی دارد؛ خرید یک بار و رها کردن محصول برای مدت طولانی، نگهداری امنیتی محسوب نمی شود.

افزونه و قالب بلااستفاده را پس از بررسی وابستگی و گرفتن پشتیبان حذف کنید. غیرفعال کردن همیشه معادل حذف همه مسیرهای دسترسی فایل نیست؛ میزان خطر به ساختار همان محصول بستگی دارد. قالب والد مورد نیاز قالب فرزند را اشتباها حذف نکنید و برنامه بازگشت قابل اجرا داشته باشید.

آیا هاست امن یا فایروال جلوی هک افزونه را می گیرد؟

هاست، جداسازی حساب ها، پایش و دیواره آتش می توانند بخشی از ریسک را کاهش دهند، اما هیچ کدام مجوز رها کردن افزونه آسیب پذیر نیستند. در بررسی هاست وردپرس ویژه درباره بکاپ خارج از حساب، مدت نگهداری لاگ و حدود پشتیبانی رخداد امنیتی سوال کنید. وجود یک نام تجاری امنیتی روی پلن، به تنهایی نتیجه را ثابت نمی کند.

نوع کنترل پنل هم جای برنامه نگهداری را نمی گیرد. مقایسه سی پنل و دایرکت ادمین برای وردپرس زمانی مفید است که ابزارهای بکاپ و دسترسی و مسئولیت به روز رسانی را کنار هم بسنجید. همچنین طبق راهنمای هاست وردپرس یا سرور مجازی، داشتن اختیار بیشتر روی سرور معمولا مسئولیت نگهداری بیشتری هم ایجاد می کند.

امنیت فقط به افزونه محدود نیست؛ نسخه PHP و سایر اجزای زیرساخت هم باید بررسی شوند. در مقاله باگ بحرانی PHP و به روز رسانی امنیتی این لایه جداگانه را توضیح داده ایم. برای بودجه بندی نیز مقایسه هاست وردپرس ارزان و حرفه ای کمک می کند هزینه سرویس را همراه با سطح پشتیبانی بسنجید.

چک لیست پیشگیری از هک وردپرس با افزونه و قالب

• برای هر سایت، فهرست نرم افزار، نسخه و مسئول به روز رسانی داشته باشید.
• هشدار امنیتی را مستقل از اعلان عادی انتشار نسخه دنبال کنید.
• قبل از نصب ابزار جدید، ضرورت آن و سابقه پاسخ توسعه دهنده به گزارش های امنیتی را بسنجید.
• برای حساب های مدیریتی از رمز یکتا، ورود دو مرحله ای و حداقل دسترسی لازم استفاده کنید.
• بکاپ مستقل و آزمون بازیابی داشته باشید؛ صرف وجود فایل بکاپ کافی نیست.
• تغییرات حساس را تا حد امکان در محیط آزمایشی بررسی کنید؛ این کار نباید اصلاح یک نقص در حال سوء استفاده را بی دلیل عقب بیندازد.
• برای اتصال های مدیریت از راه دور، کلیدهای مجزا و قابل لغو و دسترسی محدود تعریف کنید.
• کاربران مدیر، تغییر فایل ها و رخدادهای غیرعادی را دوره ای بررسی کنید.

پرسش های متداول

آیا هر سایتی که این افزونه ها را نصب داشته هک شده است؟

خیر. آسیب پذیر بودن با اثبات نفوذ فرق دارد. نسخه، تنظیمات، مدت قرار گرفتن در معرض حمله و شواهد لاگ باید بررسی شوند. در مقابل، نبودن نشانه ظاهری هم سلامت کامل سایت را ثابت نمی کند.

آیا باید همه افزونه های جدول را حذف کنیم؟

خیر. ابتدا نسخه فعلی و وضعیت اصلاحیه را بررسی کنید. محصولی که نقص خود را شفاف رفع کرده ممکن است همچنان انتخاب مناسبی باشد. حذف زمانی مطرح است که به آن نیاز ندارید، پشتیبانی متوقف شده یا راهکار امن و قابل استفاده در دسترس نیست.

آیا رمز قوی و تغییر لینک ورود کافی است؟

خیر. برخی نقص های جدول بدون ورود قابل بهره برداری هستند. حفاظت از حساب مدیر مهم است، اما باید همراه با رفع نقص نرم افزار و پایش سایت باشد.

آیا آخرین نسخه همیشه بدون آسیب پذیری است؟

خیر. به روز بودن به معنی حذف همه احتمال ها نیست، اما ماندن روی نسخه دارای نقص شناخته شده ریسک قابل پیشگیری ایجاد می کند. گزارش های تازه و تنظیمات واقعی سایت را نیز دنبال کنید.

چرا فهرست شامل تمام باگ های سال نیست؟

برای کاربردی ماندن مقاله، موارد بحرانی با منبع، بازه نسخه و اصلاحیه قابل بررسی انتخاب شده اند. نقص های با شدت بالا یا متوسط و محصولات دیگر خارج از این جدول هم می توانند برای یک سایت خاص مهم باشند.

از هشدار تا اقدام عملی

وردپرس با افزونه و قالب آسیب پذیر می تواند هک شود، اما راه حل، حذف کورکورانه امکانات سایت نیست. نام دقیق محصول، نسخه، پیش شرط نقص و اصلاحیه را مشخص کنید؛ سپس به روز رسانی و بررسی آثار احتمالی نفوذ را انجام دهید. نگهداری منظم و مسئولیت روشن، ارزش بیشتری از وعده «سایت صد درصد ضد هک» دارد.

برای بررسی زیرساخت، امکانات هاست وردپرس ارومیا سرور را با نیاز واقعی سایت خود تطبیق دهید و پیش از انتخاب، محدوده بکاپ و پشتیبانی امنیتی را بپرسید. نسخه های جدول مربوط به رفع CVE مشخص هستند و باید هنگام اقدام دوباره با آخرین اطلاعیه توسعه دهنده مقایسه شوند.

منابع: گزارش مستقیم هر آسیب پذیری کنار نام افزونه در جدول آمده است. توصیه های عمومی نگهداری با راهنمای رسمی ایمن سازی وردپرس تطبیق داده شده اند. تاریخ ها و نسخه ها برای جلوگیری از ابهام با اعداد انگلیسی نوشته شده اند.