عندما تسمح الثغرة بحذف ملفات، يجب أن تفحص الأثر لا أن تكتفي بزر Update.

نُشر في 2 يوليو 2026 · Plugin Risk

نشر Wordfence تقريرًا عن ثغرة حرجة في Avada Builder تسمح بحذف ملفات عشوائية في الإصدارات المتأثرة. الخطورة هنا ليست اسم الإضافة فقط، بل نوع الأثر: حذف ملف حساس مثل wp-config.php قد يفتح طريقًا لتعطيل الموقع أو تصعيد المشكلة.

ما الفرق بين تحديث وثغرة مؤثرة؟

تحديث الإضافة يغلق الباب للمحاولات الجديدة، لكنه لا يخبرك هل حدث حذف أو تعديل قبل التحديث. لذلك تحتاج مراجعة أثر الثغرة: ملفات ناقصة، تغييرات حديثة، أخطاء مفاجئة، أو محاولات غريبة في logs.

في مواقع WordPress التجارية، ملف واحد مفقود قد يعطل الموقع أو يكشف إعدادات أو يكسر backup job. لهذا السبب يجب ربط التحديث بفحص سريع.

ما الذي تفحصه بعد التحديث؟

افحص ملفات الجذر الحساسة، صلاحيات wp-config.php، ملفات PHP الجديدة أو المحذوفة حديثًا، وحالة الإضافة بعد التحديث. راجع أيضًا سجلات الخادم إن كانت متاحة، خصوصًا الطلبات التي وصلت لمسارات الإضافة قبل الإصلاح.

لا تحذف أي ملف مشبوه مباشرة. استخدم عزلًا قابلًا للرجوع، وخذ snapshot أو نسخة قبل أي تنظيف حساس.

Checklist استجابة

• حدد المواقع التي تستخدم الإضافة والإصدارات المتأثرة.
• حدث الإضافة من مصدر رسمي فقط.
• راجع الملفات الحساسة ووقت آخر تعديل لها.
• افحص المستخدمين الإداريين والجلسات النشطة.
• راجع backup حديثًا وتأكد أنه قابل للاسترجاع.
• راقب أخطاء 500 أو تغيّر مفاجئ في حجم الصفحة بعد الإصلاح.

كيف تمنع تكرار نفس المشكلة؟

لا تعتمد على تحديث عشوائي شهري. استخدم SLA أسبوعي للثغرات يقسم الإضافات حسب الخطر: forms، payments، builders، SEO، cache، security. الإضافات التي تملك صلاحيات واسعة يجب أن تكون في أعلى الأولوية.

الأفضل أن يوجد تقرير صغير بعد كل ثغرة حرجة: ماذا تأثر؟ ماذا تم تحديثه؟ ماذا تم فحصه؟ وهل توجد علامة اختراق أم لا؟

المصادر

• Wordfence: Avada Builder arbitrary file deletion vulnerability.
• WordPress.org: Hardening WordPress.
• Patchstack WordPress security articles.