وردپرس 7.0.4 در 12 آگوست 2026 (21 مرداد 1405) منتشر شد. این نسخه یک بروزرسانی امنیتی متمرکز است و یک آسیبپذیری مهم را برطرف میکند که در شرایط مشخص میتوانست به اجرای کد مخرب روی سرور منجر شود. تیم وردپرس توصیه کرده مدیران سایتها این نسخه را در سریعترین زمان نصب کنند.
آسیبپذیری با شناسه CVE-2026-65640 ثبت شده و سطح خطر آن «بالا» با امتیاز 8.8 از 10 اعلام شده است. با این حال، همه سایتهای وردپرسی به یک اندازه در معرض این مشکل نبودهاند و برای سوءاستفاده از آن باید چند شرط مشخص همزمان وجود داشته باشد.
وردپرس 7.0.4 چه مشکل امنیتی را برطرف میکند؟
مشکل امنیتی به بارگذاری یک فایل مخرب و پردازش آن روی سرور مربوط میشود. در سایتهایی که برای پردازش بعضی فایلهای تصویری و سندها از Imagick و Ghostscript استفاده میکنند، یک کاربر دارای مجوز بارگذاری فایل میتوانست در شرایط مشخص از این مسیر برای اجرای کد روی سرور سوءاستفاده کند.
نکته مهم این است که این آسیبپذیری برای یک بازدیدکننده ناشناس قابل استفاده نیست. مهاجم باید از قبل یک حساب کاربری با امکان بارگذاری فایل داشته باشد؛ قابلیتی که در تنظیمات پیشفرض وردپرس معمولاً در اختیار نقش نویسنده و سطوح بالاتر قرار میگیرد.
بنابراین سایتهای خبری، مجلهای، آموزشی، انجمنی یا هر سایتی که به تعداد بیشتری از کاربران دسترسی نویسنده، ویرایشگر یا مدیر داده است، باید این بروزرسانی را با حساسیت بیشتری دنبال کند. در یک سایت شرکتی کوچک که فقط چند مدیر قابلاعتماد به پیشخوان دسترسی دارند، سطح مواجهه عملی با این مسیر حمله کمتر است؛ اما نصب بروزرسانی امنیتی همچنان توصیه میشود.
آیا همه سایتهای وردپرسی در معرض این آسیبپذیری هستند؟
خیر، طبق گزارش رسمی، برای سوءاستفاده از این مشکل باید Imagick و Ghostscript روی سرور در حال استفاده باشند و فرد مهاجم نیز حسابی با مجوز بارگذاری فایل داشته باشد. اگر یکی از این شرایط وجود نداشته باشد، مسیر حمله گزارششده قابل استفاده نیست.
این تفاوت به مدیر سایت کمک میکند شدت ریسک را بهتر ارزیابی کند، اما نباید بهانهای برای نادیده گرفتن بروزرسانی باشد. نسخه 7.0.4 اصلاح رسمی این مشکل است و نصب آن سادهترین راه برای بستن مسیر آسیبپذیری شناختهشده محسوب میشود.
مدیران سایت چه کاری انجام دهند؟
پیش از هر بروزرسانی هسته، بهتر است یک بکاپ کامل از سایت وردپرسی تهیه کنید تا در صورت بروز خطای غیرمنتظره امکان بازگردانی فایلها و پایگاه داده وجود داشته باشد. سپس از مسیر پیشخوان ← بروزرسانیها نسخه فعلی وردپرس را بررسی و در صورت نمایش نسخه جدید، بروزرسانی را نصب کنید.
اگر بروزرسانی خودکار روی سایت شما فعال است، نسخههای امنیتی جزئی معمولاً بهصورت خودکار دریافت میشوند؛ با این حال بهتر است شماره نسخه نصبشده را شخصاً بررسی کنید. اگر بروزرسانی خودکار انجام نشده یا با خطا مواجه شده است، میتوانید از راهنمای بروزرسانی دستی وردپرس استفاده کنید.
بعد از بروزرسانی، صفحه اصلی سایت، ورود به پیشخوان، ویرایش نوشته و بارگذاری رسانه را بررسی کنید. در فروشگاههای ووکامرسی و سایتهای عضویتی نیز بهتر است فرایندهای مهم مانند سبد خرید، پرداخت، ورود کاربران، فرمها و ارسال ایمیل دوباره تست شوند.
نسخههای قدیمی وردپرس هم وصله امنیتی دریافت کردهاند
اصلاح این آسیبپذیری فقط برای شاخه 7.0 منتشر نشده است. تیم وردپرس وصله امنیتی را برای شاخههای قدیمی تا وردپرس 4.7 نیز منتشر کرده است؛ برای نمونه شاخه 6.9 نسخه 6.9.7، شاخه 6.8 نسخه 6.8.8 و شاخه 4.7 نسخه 4.7.35 را دریافت کردهاند.
با این حال WordPress.org تأکید میکند که فقط جدیدترین نسخه وردپرس بهصورت فعال پشتیبانی میشود. انتشار وصله برای نسخههای قدیمی نباید به معنی توصیه به ماندن طولانیمدت روی شاخههای منسوخ تلقی شود. نسخههای 4.6 و قدیمیتر نیز دیگر بروزرسانی امنیتی دریافت نمیکنند.
آیا بعد از بروزرسانی باید سایت را از نظر هک شدن بررسی کنیم؟
صرف استفاده از یک نسخه آسیبپذیر به معنی هک شدن سایت نیست. برای بیشتر سایتها، نصب نسخه اصلاحشده و بررسی عملکرد عادی سایت اقدام مناسب است. بررسی عمیقتر زمانی منطقی میشود که علاوه بر وجود شرایط آسیبپذیری، نشانههایی مانند حساب کاربری ناشناس، فایل یا آپلود مشکوک، تغییرات غیرمنتظره، ریدایرکتهای عجیب یا هشدارهای امنیتی دیده شود.
در چنین شرایطی فقط روی این آسیبپذیری تمرکز نکنید و وضعیت کلی سایت را بررسی کنید. راهنمای افزایش امنیت وردپرس میتواند برای بازبینی حسابهای کاربری، بروزرسانیها، رمزهای عبور و سایر لایههای امنیتی مفید باشد.
جمعبندی
WordPress 7.0.4 یک بروزرسانی امنیتی مهم است که یک آسیبپذیری اجرای کد از طریق بارگذاری فایل مخرب را برطرف میکند. این مشکل به حساب کاربری دارای مجوز آپلود و استفاده همزمان سرور از Imagick و Ghostscript وابسته است؛ بنابراین میزان ریسک در همه سایتها یکسان نیست.
با وجود این شرایط، بهترین اقدام برای مدیران سایت روشن است: از سایت بکاپ بگیرید، نسخه امنیتی جدید را نصب کنید، شماره نسخه را بررسی کنید و بعد از بروزرسانی چند فرایند اصلی سایت را تست کنید. برای جزئیات فنی این انتشار میتوانید اطلاعیه رسمی وردپرس را نیز مشاهده کنید.
