وردپرس ۷.۱.۲ منتشر شد؛ یه آسیب‌پذیری بحرانی همین الان داره اسکن میشه

وردپرس روز سه‌شنبه (۲۲ سپتامبر) نسخه‌ی ۷.۱.۲ رو منتشر کرد، این‌بار برای رفع یه آسیب‌پذیری بحرانی (CVE-2026-87902) توی تابع get_page_template(). این باگ به یه مهاجم بدون نیاز به هیچ اکانتی اجازه میده وردپرس رو مجبور کنه یه فایل PHP دلخواه از خارج پوشه‌ی theme فعال بارگذاری کنه، و روی سرورهایی با شرایط خاص، این کار می‌تونه مستقیم به اجرای کد روی سرور منجر بشه. این آسیب‌پذیری تمام نسخه‌های وردپرس از ۴.۷.۰ تا ۷.۱.۱ رو تحت تأثیر قرار میده، یعنی تقریباً هر سایتی که آپدیت نکرده باشه، در معرض خطره.

نگران‌کننده‌تر اینه که این دیگه فقط یه ریسک تئوری نیست: طبق گزارش تیم امنیتی Patchstack، فقط چند ساعت بعد از انتشار پچ، مهاجم‌ها شروع به اسکن سایت‌های وردپرسی برای این آسیب‌پذیری کردن، و از ۲۳ سپتامبر ابزارهای عمومی اسکن (از جمله یه Nuclei template مشخص) برای این CVE در گردش هستن؛ بعضی حملات مشاهده‌شده حتی از فایل pearcmd.php برای نوشتن فایل‌های PHP مخرب روی سرور استفاده می‌کنن. اگه سایتت آپدیت خودکار نداره، الان دیگه واقعاً وقتشه: از داشبورد وردپرس بخش Updates رو باز کن و «Update Now» رو بزن، یا مستقیم از WordPress.org نسخه‌ی ۷.۱.۲ رو دانلود کن.