چند آسیب‌پذیری امنیتی خطرناک در افزونه Advanced Custom Fields: Extended یا ACF Extended شناسایی شده‌اند که در شرایط خاص می‌توانند به تغییر اطلاعات سایت، اجرای کد مخرب یا تصاحب حساب کاربران منجر شوند. این آسیب‌پذیری‌ها در گزارش‌های امنیتی منتشرشده در 23 اکتبر 2026 تشریح شده‌اند و نسخه 0.9.2.8 برای رفع آن‌ها ارائه شده است.
ACF Extended افزونه‌ای برای گسترش امکانات Advanced Custom Fields است و قابلیت‌هایی مانند فرم‌های سمت کاربر، مدیریت فیلدهای سفارشی و ابزارهای پیشرفته مدیریت محتوا در اختیار توسعه‌دهندگان قرار می‌دهد. وجود افزونه به‌تنهایی به معنی امکان سوءاستفاده نیست؛ برخی از آسیب‌پذیری‌های گزارش‌شده برای بهره‌برداری به تنظیمات خاص فرم‌های سایت وابسته‌اند.
آسیب‌پذیری‌های جدید ACF Extended چه خطراتی دارند؟
مهم‌ترین گزارش به CVE-2026-94267 با امتیاز شدت 9 از 10 مربوط است. در نسخه‌های قبل از 0.9.2.8، در بخشی از عملیات به‌روزرسانی نوشته از طریق فرم‌های سمت کاربر، بررسی سطح دسترسی به‌درستی انجام نمی‌شود. اگر فرم عمومی سایت به شکلی پیکربندی شده باشد که هدف و محتوای نوشته را از ورودی بازدیدکننده دریافت کند، ممکن است فردی بدون ورود بتواند نوشته‌های دلخواه، حتی داده‌های مرتبط با تعریف فیلدها را تغییر دهد. چنین تغییری در شرایط آسیب‌پذیر می‌تواند به اجرای کد روی سرور منتهی شود.
این توضیح به معنای آسیب‌پذیر بودن تمام فرم‌های ساخته‌شده با افزونه نیست. پیکربندی فرم و استفاده از عملیات مشخص به‌روزرسانی نوشته در امکان بهره‌برداری نقش دارد. بااین‌حال، به دلیل پیامد احتمالی شدید، بروزرسانی فوری توصیه می‌شود.
خطر تصاحب حساب مدیر و کاربران وردپرس
گزارش CVE-2026-94268 با امتیاز شدت 8.1 از 10 به نقص بررسی مجوز در عملیات به‌روزرسانی کاربر مربوط است. در شرایط خاص پیکربندی فرم‌های عمومی، مهاجم بدون احراز هویت ممکن است کنترل حساب مدیر را به دست بگیرد.
آسیب‌پذیری CVE-2026-94262 نیز با امتیاز 8.1 از 10 در عملیات تغییر اطلاعات کاربر شناسایی شده است. این مشکل در شرایط مشخص می‌تواند امکان تغییر اطلاعات احراز هویت و تصاحب حساب کاربران غیرمدیر را فراهم کند.
هر دو مورد به ساختار فرم‌ها و عملیات تعریف‌شده در آن‌ها وابسته‌اند. بنابراین نباید از وجود این آسیب‌پذیری‌ها نتیجه گرفت که تمام سایت‌های نصب‌کننده افزونه هک شده‌اند یا تمامی کاربران آن‌ها در معرض تصاحب حساب قرار دارند.
کدام نسخه‌های افزونه آسیب‌پذیر هستند؟
طبق پایگاه امنیتی Patchstack، CVE-2026-94267 روی نسخه‌های قبل از 0.9.2.8 اثر می‌گذارد. دو آسیب‌پذیری مربوط به تصاحب حساب کاربران با شناسه‌های CVE-2026-94268 و CVE-2026-94262 برای نسخه 0.9.2.7 گزارش شده‌اند. نسخه 0.9.2.8 اصلاحیه اعلام‌شده برای این موارد است.
این گزارش‌ها شامل نسخه رایگان ACF Extended و در موارد اشاره‌شده نسخه PRO نیز می‌شوند. دقت کنید ACF Extended با افزونه اصلی Advanced Custom Fields یک محصول یکسان نیست؛ نام افزونه نصب‌شده و نسخه دقیق آن را در پیشخوان بررسی کنید.
مدیران سایت‌های وردپرسی چه اقداماتی انجام دهند؟
اگر از ACF Extended یا ACF Extended PRO استفاده می‌کنید، ابتدا در بخش افزونه‌ها ← افزونه‌های نصب‌شده نسخه فعال را بررسی کنید. در صورت استفاده از نسخه آسیب‌پذیر، پس از تهیه نسخه پشتیبان قابل بازیابی از فایل‌ها و پایگاه داده، افزونه را از منبع رسمی به 0.9.2.8 یا نسخه جدیدتر بروزرسانی کنید.
در سایت‌هایی که فرم عمومی برای ثبت یا ویرایش نوشته و اطلاعات کاربران دارند، تنظیمات این فرم‌ها و مجوزهای دسترسی را با اولویت بیشتری بررسی کنید. اگر بروزرسانی فوری ممکن نیست، غیرفعال کردن موقت فرم‌های عمومی مرتبط می‌تواند برای کاهش مواجهه مفید باشد؛ اما جایگزین نصب اصلاحیه نیست.
پس از بروزرسانی، عملکرد فرم‌ها را آزمایش کنید و اگر نشانه مشکوکی مانند تغییر غیرمنتظره نقش کاربران، ایجاد حساب مدیر ناشناس یا ویرایش غیرعادی محتوا مشاهده کردید، گزارش‌های امنیتی و فعالیت حساب‌ها را بررسی کنید. وجود چنین علائمی نیازمند بررسی تخصصی است و صرف بروزرسانی افزونه برای پاک‌سازی یک نفوذ احتمالی کافی نیست.
آیا نصب فایروال امنیتی مشکل را برطرف می‌کند؟
فایروال و ابزارهای امنیتی می‌توانند در برخی سناریوها بخشی از درخواست‌های مخرب را مسدود کنند، اما برای همه انواع این آسیب‌پذیری‌ها راهکار حفاظتی یکسان و کامل وجود ندارد. Patchstack درباره برخی نقص‌های تصاحب حساب اعلام کرده که قانون کاهش خطر اختصاصی ارائه نشده است. راهکار اصلی، نصب نسخه اصلاح‌شده افزونه است.
جمع‌بندی
آسیب‌پذیری‌های تازه ACF Extended نشان می‌دهند که فرم‌های سمت کاربر در صورت کنترل ناکافی مجوزها می‌توانند به نقطه‌ای حساس برای امنیت وردپرس تبدیل شوند. سه گزارش مهم اکتبر 2026 به اجرای کد و تصاحب حساب کاربران مربوط‌اند و اصلاحیه آن‌ها در نسخه 0.9.2.8 ارائه شده است. اگر این افزونه روی سایت شما فعال است، نسخه آن را بررسی و بروزرسانی کنید؛ برای سایت‌هایی که فرم عمومی ویرایش محتوا یا اطلاعات کاربران دارند، این اقدام اهمیت بیشتری دارد.
