محاولات استطلاع نقطة النهاية batch في REST API لـ WordPress تتجاوز ثلاثة أضعافها على بنيتنا التحتية

⁦291 Intercept⁩ هو تقريرنا الأسبوعي عمّا استهدفته أدوات الفحص الآلية على بنيتنا التحتية، لتتمكن من فحص أنظمتك بحثًا عن الأمور نفسها. يغطي كل عدد أسبوعًا انتهى قبل سبعة أيام على الأقل.

كان أوضح تغيير على بنيتنا التحتية في أسبوع 26 أكتوبر قفزةً في الطلبات على عنوان واحد في WordPress هو /wp-json/batch/v1. فقد طلبه نحو 40 مصدرًا، أي 3.3 أضعاف متوسطه الأسبوعي خلال الأسابيع الثلاثة السابقة. ومن هذه النقطة تبدأ wp2shell، وهي سلسلة من ثغرتين في نواة WordPress تتيح لمهاجم لم يسجّل الدخول تشغيل تعليمات برمجية على الموقع.

وجاء ذلك في أسبوع أكثر نشاطًا عمومًا: فقد استطلع نحو 620 مصدرًا بنيتنا التحتية المواجهة للإنترنت، بزيادة 10% عن متوسط الأسابيع الثلاثة السابقة. وبقي WordPress الهدف الرئيسي، إذ استهدف 66% من المصادر صفحات تسجيل الدخول أو XML-RPC أو مسارات الإضافات فيه، بارتفاع 20%. كما طلبت أدوات الفحص بوتيرة أعلى أجزاءً من التطبيقات يُفترض أن تبقى خاصة.

ما هي wp2shell

/wp-json/ هو جذر واجهة REST API في WordPress، و/wp-json/batch/v1 هو معالج الدفعات فيها، الذي يعالج حزمة من طلبات API معًا. ووفقًا لـ Rapid7، تجمع wp2shell بين ثغرتين: ⁦CVE-2026-63030⁩ خلل منطقي في معالج الدفعات هذا، و⁦CVE-2026-60137⁩ ثغرة حقن SQL في نقطة نهاية المنشورات. وعند ربطهما معًا، تتيحان لشخص لا يملك حسابًا تشغيل تعليمات برمجية على WordPress بالإصدارات من 6.9.0 حتى 6.9.4 ومن 7.0.0 حتى 7.0.1.

كُشف عن الثغرة في 17 يوليو 2026، ويفيد Rapid7 بأن CISA أضافتها إلى كتالوج الثغرات المعروف استغلالها (Known Exploited Vulnerabilities) في 21 يوليو. والإصدارات التي تتضمن الإصلاح هي 6.9.5 و7.0.2 و⁦7.1 Beta 2⁩.

لماذا تُستطلع ثغرة صدر إصلاحها بالفعل؟ لا تحتاج أدوات الفحص إلى أن يكون كل موقع معرّضًا للخطر، بل يكفيها بعضها. فالطلب لا يكلفها شيئًا يُذكر، وأي موقع لا يزال على إصدار متأثر يستحق زيارة ثانية.

الوجه المألوف لفحص WordPress

شغّلت مجموعة أدوات منسّقة تضم نحو 20 مصدرًا في عدد قليل من البلدان القائمة نفسها المؤلفة من نحو عشرة مسارات. فقد طلبت الملف نفسه تحت أسماء مجلدات كثيرة، مثل /wp/wp-includes/wlwmanifest.xml و/shop/wp-includes/wlwmanifest.xml و/wordpress/wp-includes/wlwmanifest.xml، إلى جانب /xmlrpc.php.

ملف wlwmanifest.xml هو ملف بيان Windows Live Writer الموجود في تثبيتات WordPress الافتراضية، وطلبه تحت المجلدات الشائعة طريقةٌ للعثور على مواقع WordPress قبل تجربة ثغرات الإضافات أو القوالب. أما XML-RPC فهو الخطوة التالية: إذ وجد باحثون عام 2015 أن طريقة system.multicall فيه تتيح للمهاجم تجربة مئات كلمات المرور في طلب واحد.

البقايا والمكونات الداخلية

مقارنةً بالأسابيع الثلاثة السابقة، ارتفع عدد المصادر التي بحثت عن ملفات النسخ الاحتياطية والتفريغ بنسبة 73%، وعدد تلك التي استهدفت المكونات الداخلية للتطبيقات مثل actuator في Spring Boot بنسبة 63%، وعدد تلك التي طلبت صفحات التشخيص مثل /phpinfo.php و/info.php بنسبة 52%. ولأن العدد الإجمالي للمصادر نما أيضًا، تحركت حصصها بدرجة أقل: إذ ارتفعت صفحات التشخيص من 15% من جميع المصادر في المتوسط إلى 21%. يعرض الرسم البياني أدناه ست فئات من فئات هذا الأسبوع، ولكل منها حصتها من المصادر هذا الأسبوع مقابل متوسطها خلال الأسابيع الثلاثة السابقة.

استقطب /actuator/env نحو 40 مصدرًا، أي 2.4 أضعاف متوسطه السابق. وفي Spring Boot، تعرض نقطة النهاية هذه خصائص إعدادات التطبيق. وتذكر وثائق Spring أن نقطة health وحدها متاحة عبر HTTP افتراضيًا وأن قيم env مُقنّعة افتراضيًا، لكن عندما يفتحها المطورون دون تقييد الوصول، قد تسرّب بيانات الاعتماد ومفاتيح API والإعدادات الداخلية. أما /wp-config.php.bak، وهو نسخة احتياطية منسية من ملف إعدادات WordPress، فقد تضاعف إلى نحو 40 مصدرًا.

ومزجت مجموعة أدوات ثانية تضم نحو 20 مصدرًا هذه الاهتمامات في مسح واحد: /.env و/.git/config و/info.php و/config.json و/server-status و/debug/default/view. ينتمي المسار الأخير إلى مصحح أخطاء ⁦Yii 2⁩، الذي يعرض بيانات الجلسات ومتغيرات البيئة واستعلامات قاعدة البيانات. ويذكر دليل Yii أنه لا يعمل عادةً إلا من localhost، لكن ⁦CVE-2026-103475⁩، التي كُشف عنها في 30 سبتمبر، تشمل yii2-starter-kit حتى الإصدار 4.2.0، إذ تفتحه إعداداته الافتراضية لجميع عناوين IP.

متابعة لما ورد الأسبوع الماضي

أشار عددنا السابق إلى ازدياد أدوات الفحص التي تبحث عن ملفات .env في المجلدات الفرعية، واستمر ذلك. فقد استقطب كل من /v2/.env و/old/.env نحو 60 مصدرًا، أي قرابة ضعف متوسطهما السابق، بينما استقطب /production/.env 50 مصدرًا و/storage/.env 40 مصدرًا. وإجمالًا، استهدف 200 مصدر ملفات الأسرار والإعدادات، بزيادة 16%، وهو ما يتماشى تقريبًا مع ارتفاع العدد الإجمالي للمصادر، لذا ثبتت حصتها عند 33%. وللمقارنة، أفاد باحثون في فبراير بوجود 12,088,677 عنوان IP تقدّم ملفات من نمط .env متاحة للعموم.

أما فحص مستودعات Git الذي تصدّر عددنا الأسبوع الماضي، فقد تراجعت حصته لكنه بقي فوق مستواه السابق. وإجمالًا، بحث 170 مصدرًا عن مستودعات الشيفرة المصدرية، بزيادة 20% عن متوسط الأسابيع الثلاثة، رغم أن حصتها من جميع المصادر انخفضت من 37% إلى 29%.

من كان وراء الطلبات

جاء أكثر من نصف المصادر (55%) من شبكات الحوسبة السحابية والاستضافة، منها DigitalOcean وGoogle Cloud بنسبة 20% لكل منهما، وظهر 85% من جميع المصادر في يوم واحد فقط. كما حاول معظمها الظهور بمظهر المستخدمين البشر: إذ أرسل 82% منها سلاسل تنتحل صفة متصفحات عادية، ومع ذلك تصرف 85% منها كأدوات آلية، فالتمويه هش.

ما الذي هدأ

تراجعت الطلبات على /wp-content/plugins/hellopress/wp_filemanager.php، التي بلغ متوسطها نحو 20 مصدرًا أسبوعيًا، إلى ما يقارب الصفر، بانخفاض 79%. ومن المبكر القول إن كانت أدوات الفحص قد انتقلت إلى غيرها. أما ملفات مفاتيح السحابة مثل /service-account.json فبقيت مستقرة تقريبًا عند 70 مصدرًا.

ما الذي ينبغي فعله

• تحقق من إصدار WordPress لديك. إذا كان بين 6.9.0 و6.9.4 أو بين 7.0.0 و7.0.1، فحدّثه إلى 6.9.5 أو 7.0.2 فورًا.
• أبقِ ملفات .env خارج المجلد العام تمامًا، بما في ذلك الإصدارات القديمة والمجلدات الفرعية المرقّمة حسب الإصدار. المكان الآمن هو مستوى واحد فوق جذر الويب.
• احذف النسخ الاحتياطية وملفات التفريغ مثل /database.sql أو /wp-config.php.bak من أي مكان يمكن للمتصفح الوصول إليه.
• أحكم إغلاق المكونات الداخلية. قيّد الوصول إلى نقاط نهاية actuator في Spring Boot وأبقِ إخفاء قيم env مفعّلًا، وأزل صفحات اختبار phpinfo، واحصر مصحح أخطاء Yii في localhost.
• عطّل XML-RPC إذا لم يكن موقعك بحاجة إليه.

حول هذه الملاحظات

يُعِدّ هذا التقرير ⁦291 Heat Seeker One⁩، نظام المراقبة الأمنية لدى ⁦⁦291 Group⁩⁩، الذي يعمل على ⁦291 Crossband⁩، منصتنا الخاصة لعمليات الأمن. ولا يغطي سوى حركة المرور المتجهة إلى البنية التحتية المواجهة للإنترنت التابعة لـ ⁦⁦291 Group⁩⁩.

الأرقام مقرّبة، والحصص والتغيرات تُقاس بعدد المصادر المستقلة لا بعدد الطلبات، ولا تُدرج إلا الأنماط التي رُصدت من 20 مصدرًا مستقلًا على الأقل. والبلدان هي مواقع خوادم المصادر، وليست بالضرورة أماكن وجود من يشغّلونها. أما أنواع الشبكات فتُحدَّد بحسب الجهة المشغّلة لكل شبكة، ولا نذكر بالاسم إلا المزودين الكبار المعروفين.