وردپرس با بررسی خودکار پلاگین‌ها، از توزیع نسخه‌های پرریسک جلوگیری می‌کند

بررسی مستمر نسخه‌های جدید پلاگین‌ها

دیوید پرز (David Perez)، یکی از مدیران تیم مخزن رسمی وردپرس، توضیح می‌دهد که نسخه‌های جدید پلاگین‌ها پیش از ورود به مخزن بررسی می‌شوند؛ با این حال، نسخه‌های بعدی ممکن است بدون بررسی در اختیار کاربران قرار گیرند. به همین دلیل، یک نسخه می‌تواند در زمان انتشار کاملاً امن باشد، اما در نسخه‌ای بعدی، آسیب‌پذیری یا کد مخربی به آن اضافه شود. وردپرس اعلام کرده است که عدم وجود یک مرحله بررسی مشخص و ثابت بین کامیت (Commit) یک نسخه و عرضه آن برای کاربران، می‌تواند راه را برای حملات مخرب باز کند.

سامانه بررسی خودکار وردپرس در 28 جولای 2026، یک بکدور را در نسخه‌ای با حدود 20 هزار نصب فعال شناسایی کرد. این نسخه در زمان شناسایی هنوز در دوره بررسی پیش از توزیع (Cooldown Period) قرار داشت و به همین دلیل، از طریق API به‌روزرسانی WordPress.org به کاربران عرضه نشد. 26 دقیقه پس از اطلاع Wordfence به تیم وردپرس، دسترسی کاربران به این نسخه مسدود شد. وردپرس نام محصول موردنظر را اعلام نکرده است.

دوره بررسی پیش از توزیع نسخه‌های جدید

تمام پلاگین‌ها و قالب‌های (Themes) وردپرس از 5 ژوئن 2026 پیش از توزیع از طریق قابلیت به‌روزرسانی خودکار، وارد یک دوره بررسی پیش از توزیع  می‌شوند. این سازوکار بخشی از ابتکار امنیتی وردپرس با نام Protect The Shire است.

هدف از این دوره، ایجاد یک فاصله زمانی پیش از توزیع نسخه‌های جدید است تا نسخه‌های مخرب بلافاصله به دست کاربران نهایی نرسند. این دوره اکنون 6 ساعت است؛ در حالی که در زمان آغاز این سازوکار، 24 ساعت تعیین شده بود.

این فاصله زمانی فرصتی فراهم می‌کند تا نسخه‌های جدید پیش از توزیع گسترده بررسی شوند و در صورت شناسایی تهدید، از رسیدن آن‌ها به کاربران جلوگیری گردد.

مسدودسازی خودکار نسخه‌های پرریسک

اقدام جدید وردپرس برای رفع یکی دیگر از ضعف‌های مهم امنیتی طراحی شده است؛ بر این اساس، اگر نسخه‌ای امتیاز ریسک بالایی دریافت کند، توزیع آن به‌صورت خودکار متوقف می‌شود و نیازی به دخالت مستقیم تیم مخزن وردپرس نخواهد بود.

فرآیند بررسی به این صورت انجام می‌شود:

• در فاصله زمانی پیش از توزیع، تغییرات اعمال‌شده در هر نسخه در org با استفاده از مدل‌های هوش مصنوعی و ابزار Jetpack Scan مورد تحلیل قرار می‌گیرند.
• نتایج این بررسی‌ها با یکدیگر مقایسه شده و در قالب یک امتیاز ریسک امنیتی (Security Risk Score) جمع‌بندی می‌شوند. هرچه این امتیاز بالاتر باشد، احتمال وجود ریسک امنیتی در نسخه نیز بیشتر است.
• پس از پایان بررسی، نسخه‌هایی که امتیاز ریسک بالایی داشته باشند، به‌صورت خودکار مسدود می‌شوند. نسخه‌هایی که امتیاز آن‌ها پایین‌تر از آستانه تعیین‌شده باشد، بدون تغییر وارد روند معمول توزیع خواهند شد.
• توسعه‌دهندگان یا ثبت‌کنندگان کامیت (Committers) پلاگین‌ها تنها در صورتی ایمیلی شامل نتایج بررسی دریافت می‌کنند که نسخه مربوطه مسدود شده باشد.

با این حال، امتیاز ریسک بالا لزوماً به معنای مخرب بودن نسخه نیست. این امتیاز علاوه بر کدهای مخربی که عمداً به نسخه اضافه شده‌اند، آسیب‌پذیری‌هایی را نیز در نظر می‌گیرد که ممکن است در جریان توسعه، به‌طور ناخواسته ایجاد شده باشند.

الگوهای کدنویسی مؤثر بر امتیاز ریسک پلاگین‌ها

دیوید پرز در ادامه توضیح داد که سامانه بررسی امنیتی خودکار وردپرس، همان دسته‌های آسیب‌پذیری را شناسایی می‌کند که معمولاً در ممیزی‌های امنیتی (Security Audit) مورد ارزیابی قرار می‌گیرند. او از توسعه‌دهندگان خواست برای اطمینان از کیفیت و اعتبارسنجی کد، استانداردهای کدنویسی وردپرس (WordPress Coding Standards) و قوانین PHP_CodeSniffer یا PHPCS را رعایت کنند.

همچنین به توسعه‌دهندگانی که برای WooCommerce محصولات توسعه‌ای ارائه می‌کنند، توصیه شده است از ابزار Quality Insights Toolkit یا QIT استفاده کنند.

برخی الگوهای کدنویسی می‌توانند امتیاز ریسک پلاگین‌ها را افزایش دهند، از جمله:

• استفاده از Endpointهای REST، AJAX یا admin-post بدون بررسی سطح دسترسی (Capability Check)؛ وجود Nonce به‌تنهایی به معنای مجاز بودن دسترسی نیست.
• ایجاد کوئری‌ها بدون استفاده از $wpdb->prepare().
• تعیین مسیر فایل‌ها یا اجرای عملیات آپلود، حذف و فراخوانی فایل‌ها (Include) بر اساس داده‌های دریافتی از درخواست کاربر.
• استفاده ازunserialize()  روی داده‌های درخواست یا پاسخ دریافتی از یک منبع راه دور.
• نوشتن گزینه‌ها (Options)، متادیتای کاربران یا تنظیمات از طریق Endpointهایی که کاربران دارای نقش کاربری مشترک (Subscriber) یا کاربران احراز هویت‌نشده به آن‌ها دسترسی دارند.
• دریافت یا اجرای کد در زمان اجرا (Runtime) و استفاده از کدهای مبهم‌سازی‌شده یا پک‌شده (Obfuscated/Packed Code).

انتشار نسخه پچ ‌شده پس از مسدودسازی

پس از مسدود شدن یک نسخه، توسعه‌دهنده باید موارد شناسایی‌شده در ارزیابی امنیتی را پچ کند و نسخه جدیدی منتشر نماید. اگر نسخه جدید امتیازی پایین‌تر از آستانه ریسک بالا دریافت کند، دوباره وارد روند معمول بررسی پیش از توزیع خواهد شد.

به گفته دیوید پرز، اگر نتیجه بررسی امنیتی مورد تأیید توسعه‌دهندگان نباشد، آن‌ها می‌توانند با تیم پلاگین‌ها تماس بگیرند. با این حال، این تیم حجم زیادی از درخواست‌های بررسی را دریافت می‌کند؛ بنابراین، پچ کردن ضعف امنیتی و انتشار نسخه جدید تقریباً همیشه سریع‌تر از طی شدن فرآیند بررسی دستی خواهد بود.

در مجموع، سازوکار جدید وردپرس برای پلاگین‌ها، فاصله میان انتشار نسخه جدید و توزیع آن برای کاربران را به یک مرحله مهم امنیتی تبدیل می‌کند. در این مرحله، نسخه‌های پرریسک پیش از توزیع عمومی شناسایی و مسدود می‌شوند تا از توزیع آن‌ها میان کاربران جلوگیری شود.

منابع