WordPress 7.0.4 در 22 مرداد 1405 منتشر شده و یک آسیبپذیری امنیتی با سطح خطر بالا را برطرف میکند. این نقص میتواند در شرایط خاص به اجرای کد از راه دور (RCE) منجر شود؛ البته برای سوءاستفاده از آن، فعال بودن Imagick و Ghostscript و داشتن دسترسی کاربری مناسب هر دو ضروری است.
اگر سایت شما چند نویسنده دارد یا کاربران دارای سطح دسترسی Author میتوانند فایل آپلود کنند، بهتر است بهروزرسانی وردپرس را در اولویت قرار دهید.
وردپرس 7.0.4 چه چیزی را تغییر داده است؟
نسخه 7.0.4 تنها شش روز پس از WordPress 7.0.3 منتشر شده و برخلاف یک آپدیت معمولی، تمرکز آن کاملاً روی امنیت وردپرس است.
این نسخه شامل قابلیت جدید یا اصلاحات عمومی نیست و هدف اصلی آن برطرف کردن یک آسیبپذیری امنیتی مهم است.
در این بهروزرسانی:
- یک آسیبپذیری امنیتی برطرف شده است.
- سطح خطر آسیبپذیری High اعلام شده است.
- امتیاز آن CVSS 8.8 است.
- نوع آسیبپذیری، اجرای کد از راه دور (Remote Code Execution) است.
- بخش اصلی تغییرات در فایل
wp-includes/class-wp-image-editor-imagick.phpانجام شده است.
در مجموع هفت فایل تغییر کردهاند و بخش عمده کدهای اضافهشده مربوط به نحوه شناسایی و پردازش فایلهای آپلودی در ImageMagick است.
آسیبپذیری CVE-2026-65640 چیست؟
آسیبپذیری CVE-2026-65640 با امتیاز CVSS 8.8 و سطح خطر بالا، به فرایند آپلود و پردازش فایلهای تصویری مربوط میشود.
این آسیبپذیری در دسته CWE-434؛ آپلود بدون محدودیت فایل با نوع خطرناک قرار میگیرد.
نکته مهم این است که مشکل اصلی مستقیماً در هسته وردپرس قرار ندارد. زمانی که وردپرس از Imagick برای پردازش یک فایل استفاده میکند، Imagick میتواند برخی فایلهای PostScript یا PDF را برای پردازش بیشتر به Ghostscript ارسال کند.
در شرایط آسیبپذیر، یک کاربر دارای دسترسی لازم میتواند فایل مخربی را آپلود کند و این زنجیره پردازش در نهایت امکان اجرای کد روی سرور را ایجاد کند.
به زبان ساده:
کاربر فایل مخرب را آپلود میکند → Imagick فایل را پردازش میکند → فایل به Ghostscript میرسد → آسیبپذیری Ghostscript میتواند به اجرای کد منجر شود.
چه سایتهایی واقعاً در معرض این آسیبپذیری هستند؟
برای اینکه CVE-2026-65640 روی یک سایت قابل سوءاستفاده باشد، دو شرط باید همزمان برقرار باشند.
شرط اول: Imagick و Ghostscript فعال باشند
سرور باید از Imagick/ImageMagick استفاده کند و Ghostscript نیز روی آن نصب و در دسترس باشد.
این ترکیب روی تمام سرورهای وردپرس وجود ندارد. برخی هاستها به جای Imagick از کتابخانه GD استفاده میکنند.
بنابراین اگر Ghostscript روی سرور شما در دسترس نباشد، این آسیبپذیری خاص نمیتواند از این مسیر سایت شما را هدف قرار دهد.
شرط دوم: مهاجم امکان آپلود فایل داشته باشد
مهاجم باید یک حساب کاربری وردپرس داشته باشد که قابلیت upload_files را در اختیارش قرار دهد.
در نصب پیشفرض وردپرس، این سطح دسترسی معمولاً برای نقشهای زیر وجود دارد:
- Author
- Editor
- Administrator
اما نقش Contributor بهصورت پیشفرض امکان آپلود فایل ندارد و بنابراین برای این مسیر حمله کافی نیست.
نتیجه مهم
اگر هر کدام از این دو شرط برقرار نباشد، این آسیبپذیری خاص سایت شما را از این مسیر تهدید نمیکند.
با این حال، این موضوع به معنی بینیازی از نصب WordPress 7.0.4 نیست. وضعیت سرور میتواند بعداً با تغییر هاست، مهاجرت یا تغییر تنظیمات PHP و وردپرس متفاوت شود.
آیا WordPress 7.0.4 از نسخه 7.0.3 مهمتر است؟
مقایسه این دو نسخه نکته جالبی دارد.
آسیبپذیری اصلی WordPress 7.0.3 یعنی CVE-2026-64638 امتیاز 8.9 داشت و مهاجم برای سوءاستفاده از آن نیازی به حساب کاربری نداشت؛ اما کاربر Administrator باید روی یک لینک مخرب کلیک میکرد.
در WordPress 7.0.4 شرایط متفاوت است:
- مهاجم به حساب کاربری نیاز دارد.
- حساب کاربری باید امکان آپلود فایل داشته باشد.
- اما برای اجرای حمله، تعامل کاربر دیگری لازم نیست.
- نتیجه احتمالی، اجرای مستقیم کد روی سرور است.
البته مقایسه عدد 8.9 با 8.8 چندان دقیق نیست، زیرا این دو آسیبپذیری بر اساس نسخههای متفاوت CVSS امتیازدهی شدهاند.
از نظر عملی میتوان گفت:
تعداد سایتهایی که در معرض CVE-2026-65640 هستند کمتر است، اما برای سایتهای آسیبپذیر، پیامد حمله جدیتر است.
بهخصوص سایتهای زیر باید این آپدیت را جدیتر بگیرند:
- سایتهای چندنویسنده
- سایتهای خبری و مجلات آنلاین
- سایتهای عضویت و انجمنها
- سایتهایی که نویسندگان فریلنسر دارند
- سایتهایی که کارکنان مختلف دارای حساب Author هستند
- سایتهای مشتریان که چند نفر به پنل وردپرس دسترسی دارند
WordPress 7.0.4 چگونه مشکل را برطرف میکند؟
یکی از نکات مهم این آپدیت، تغییر روش تشخیص نوع فایل است.
در کد قبلی، وردپرس تا حدی به پسوند فایل اعتماد میکرد. برای مثال اگر فایل پسوند PDF داشت، مسیر پردازش PDF انتخاب میشد و در سایر موارد ممکن بود فایل برای تشخیص بیشتر در اختیار Imagick قرار گیرد.
مشکل اینجاست که پسوند فایل بهتنهایی نمیتواند مشخص کند محتوای واقعی آن چیست.
در نسخه جدید، وردپرس بررسی دقیقتری روی محتوای فایل انجام میدهد.
از جمله:
- بخشی از دادههای ابتدایی فایل برای تشخیص نوع واقعی آن بررسی میشود.
- فایلهایی که پسوند PDF دارند اما امضای واقعی PDF یعنی
%PDF-را ندارند، رد میشوند. - فایلهای PostScript با روشهای مختلف شناسایی و مسدود میشوند.
- پسوندهایی مانند
.ps،.epsو.epsfنیز بررسی میشوند. - دادههای ابتدایی یا Magic Bytes فایل بررسی میشوند.
- فرمتهایی که Imagick از طریق مشخصکنندههای داخلی تشخیص میدهد نیز کنترل میشوند.
- پیشوندهای
FORMAT:در نام فایل پاکسازی میشوند. - فایلهای فشردهای که Imagick ممکن است پیش از تشخیص نوع واقعی آنها را باز کند نیز با دقت بیشتری کنترل میشوند.
- فایلهای PDF بر اساس امضای واقعی محتوا، نه صرفاً پسوند، شناسایی میشوند.
این تغییر نشان میدهد که رویکرد جدید وردپرس فقط مسدود کردن یک نوع فایل خاص نیست؛ بلکه تلاش میکند اعتماد به نام و پسوند فایل را کاهش دهد و نوع واقعی فایل را بررسی کند.
چگونه بفهمیم سرور وردپرس از Imagick و Ghostscript استفاده میکند؟
برای بررسی این موضوع معمولاً نیازی به دسترسی SSH یا خط فرمان سرور ندارید.
از پنل مدیریت وردپرس وارد مسیر زیر شوید:
پیشخوان وردپرس → ابزارها → سلامت سایت → اطلاعات → مدیریت رسانه (Media Handling)
در این قسمت میتوانید اطلاعات مربوط به پردازش تصاویر را مشاهده کنید.
اگر نسخه ImageMagick و Ghostscript در این بخش نمایش داده شوند، میتوانید وضعیت سرور را بهتر ارزیابی کنید.
اگر Ghostscript در دسترس نباشد، این آسیبپذیری خاص از این مسیر روی سایت شما قابل استفاده نیست.
با این حال، بهتر است این بررسی را جایگزین بهروزرسانی وردپرس نکنید.
برای WordPress 7.0.4 چه کاری انجام دهیم؟
اگر سایت شما از وردپرس استفاده میکند، مراحل زیر را انجام دهید.
۱. نسخه وردپرس را بررسی کنید
از پیشخوان وارد:
پیشخوان → بهروزرسانیها
شوید و نسخه فعلی WordPress را بررسی کنید.
۲. وردپرس را به نسخه 7.0.4 بهروزرسانی کنید
اگر بهروزرسانی برای شما نمایش داده میشود، آن را نصب کنید.
سایتهایی که بهروزرسانی خودکار نسخههای امنیتی را فعال دارند، ممکن است این آپدیت را بهصورت خودکار دریافت کرده باشند.
۳. وضعیت Ghostscript را بررسی کنید
از بخش Site Health میتوانید بررسی کنید که آیا Ghostscript روی سرور در دسترس است یا خیر.
این کار کمک میکند بفهمید سایت شما از نظر این آسیبپذیری خاص در چه شرایطی قرار دارد.
۴. کاربران دارای دسترسی Author را بررسی کنید
به بخش کاربران وردپرس بروید و ببینید چه افرادی دارای نقش Author یا بالاتر هستند.
اگر افرادی دارید که دیگر با سایت همکاری نمیکنند، بهتر است حساب آنها را حذف یا سطح دسترسیشان را کاهش دهید.
کم کردن دسترسیهای غیرضروری یکی از اقدامات مهم امنیت وردپرس است.
۵. سایتهای Staging و Development را فراموش نکنید
یکی از اشتباهات رایج، بهروزرسانی سایت اصلی و فراموش کردن نسخه آزمایشی است.
اگر یک سایت Staging یا Development از طریق اینترنت قابل دسترسی باشد و همان شرایط سایت اصلی را داشته باشد، میتواند همچنان در معرض خطر باشد.
بنابراین نسخههای آزمایشی، سایتهای قدیمی و نصبهای فراموششده وردپرس را نیز بررسی کنید.
آیا WordPress 7.0.4 یک آپدیت اضطراری است؟
پاسخ برای همه سایتها یکسان نیست.
اگر:
- Imagick فعال است،
- Ghostscript روی سرور وجود دارد،
- و کاربران غیرقابل اعتماد یا نیمهقابل اعتماد دارای نقش Author یا بالاتر هستند،
بهتر است همین امروز وردپرس را بهروزرسانی کنید.
اما اگر یکی از این شرایط وجود ندارد، ریسک این آسیبپذیری خاص برای سایت شما بسیار کمتر است و میتوانید آن را در چرخه معمول بهروزرسانی امنیتی خود انجام دهید.
با این حال، بهروزرسانی WordPress 7.0.4 همچنان توصیه میشود.
آیا وردپرس خودش بهروزرسانی میشود؟
در سایتهایی که قابلیت Automatic Background Updates فعال است، نسخههای امنیتی جزئی وردپرس معمولاً بهصورت خودکار نصب میشوند.
با این حال، بهتر است صرفاً به این موضوع اعتماد نکنید.
گاهی اوقات بهروزرسانی خودکار به دلایل مختلف غیرفعال شده است؛ برای مثال:
- یک افزونه آن را غیرفعال کرده است.
- تنظیمات سایت تغییر کرده است.
- توسعهدهنده قبلاً برای رفع یک مشکل Auto Update را خاموش کرده است.
- سایت مدت زیادی بدون نگهداری رها شده است.
بنابراین بهتر است نسخه وردپرس را بهصورت دستی نیز بررسی کنید.
اگر فقط خودم کاربر سایت هستم چه؟
اگر تنها کاربر سایت خودتان هستید و هیچ حساب Author یا بالاتری در اختیار فرد دیگری نیست، مسیر حمله مورد بحث عملاً بسیار محدود میشود؛ زیرا مهاجم برای سوءاستفاده به حسابی با قابلیت آپلود فایل نیاز دارد.
با این حال، بهروزرسانی نکردن تصمیم مناسبی نیست.
ممکن است در آینده کاربر جدیدی به سایت اضافه شود یا تنظیمات سرور تغییر کند. علاوه بر این، WordPress 7.0.4 یک نسخه امنیتی است و بهتر است نصب آن را به تعویق نیندازید.
آیا باید Ghostscript را هم بهروزرسانی کنیم؟
اگر مدیریت سرور بر عهده خودتان است، بهروز نگه داشتن بستههای سرور از جمله Ghostscript اقدام مناسبی است.
اگر از هاست مدیریتشده استفاده میکنید، معمولاً بهروزرسانی این بخش بر عهده شرکت هاستینگ است.
نکته مهم این است که اصلاح WordPress 7.0.4 یک لایه محافظ دیگر ایجاد میکند و از ارسال برخی فایلهای خطرناک به فرایند پردازش Imagick جلوگیری میکند.
بنابراین بهروزرسانی وردپرس و بهروز بودن نرمافزارهای سرور، جایگزین یکدیگر نیستند و هر دو اهمیت دارند.
اگر از WordPress 4.6 یا نسخههای قدیمیتر استفاده کنیم چه؟
اگر سایت شما هنوز روی WordPress 4.6 یا نسخههای بسیار قدیمیتر قرار دارد، مسئله فقط CVE-2026-65640 نیست.
نسخههای قدیمی وردپرس که دیگر پشتیبانی امنیتی دریافت نمیکنند، در برابر آسیبپذیریهای مختلف قرار دارند.
در چنین شرایطی بهتر است برنامهای برای ارتقای وردپرس به یک شاخه پشتیبانیشده داشته باشید.
قبل از ارتقا نیز بهتر است:
- از فایلها و دیتابیس بکاپ بگیرید.
- سازگاری قالب را بررسی کنید.
- افزونهها را بررسی کنید.
- نسخه PHP مناسب را در نظر بگیرید.
- ابتدا روی Staging تست کنید.
آیا این آسیبپذیری به افزونهها و قالبها مربوط است؟
خیر.
CVE-2026-65640 مربوط به WordPress Core است و بهروزرسانی آن از طریق نسخه 7.0.4 انجام میشود.
اما این موضوع به معنی امنیت کامل سایت بعد از آپدیت هسته وردپرس نیست.
امنیت یک سایت وردپرسی به مجموعهای از عوامل وابسته است:
- هسته WordPress
- افزونهها
- قالب
- PHP
- نرمافزارهای سرور
- سطح دسترسی کاربران
- رمزهای عبور
- تنظیمات هاست
- سیستم بکاپ
- فایروال و کنترلهای امنیتی
به همین دلیل، بعد از بهروزرسانی WordPress Core، وضعیت افزونهها و قالبها را نیز بررسی کنید.
پرشیا وب و اهمیت بهروزرسانی منظم وردپرس
برای سایتهای شرکتی، فروشگاهی و خدماتی، امنیت وردپرس نباید فقط زمانی بررسی شود که یک آسیبپذیری جدید منتشر میشود.
پرشیا وب بهعنوان شرکت طراحی سایت در اصفهان، در پروژههای وردپرسی علاوه بر طراحی و توسعه سایت، توجه به مواردی مانند بهروزرسانی هسته وردپرس، مدیریت افزونهها، سطح دسترسی کاربران، عملکرد سایت و نگهداری فنی را نیز ضروری میداند.
بهخصوص در سایتهایی که چند مدیر، نویسنده یا تولیدکننده محتوا دارند، مدیریت دسترسی کاربران اهمیت بیشتری پیدا میکند.
برای مثال، اگر یک سایت خبری چندین نویسنده داشته باشد، حذف یک حساب کاربری قدیمی یا کاهش دسترسی آن میتواند به اندازه نصب یک آپدیت امنیتی اهمیت داشته باشد.
جمعبندی
WordPress 7.0.4 یک بهروزرسانی امنیتی مهم است که آسیبپذیری CVE-2026-65640 را برطرف میکند. این آسیبپذیری در شرایط مشخصی میتواند به اجرای کد از راه دور منجر شود و برای سوءاستفاده از آن، وجود همزمان Imagick و Ghostscript و همچنین یک حساب کاربری با قابلیت آپلود فایل ضروری است.
اگر سایت شما چندنویسنده است یا کاربران Author و بالاتر دارد، نصب این نسخه را در اولویت قرار دهید.
حتی اگر سایت شما در شرایط فعلی در معرض این آسیبپذیری خاص نباشد، بهتر است WordPress Core را بهروز نگه دارید. همچنین بررسی کاربران، افزونهها، قالب، PHP و نرمافزارهای سرور را به بخشی از فرایند منظم نگهداری سایت تبدیل کنید.
سوالات متداول درباره WordPress 7.0.4
WordPress 7.0.4 چیست؟
WordPress 7.0.4 یک نسخه امنیتی است که در ۱۲ اوت ۲۰۲۶ منتشر شده و یک آسیبپذیری با شدت بالا و شناسه CVE-2026-65640 را برطرف میکند.
آیا CVE-2026-65640 خطرناک است؟
بله. این آسیبپذیری با امتیاز CVSS 8.8 در سطح High قرار دارد و در شرایط خاص میتواند به اجرای کد از راه دور منجر شود.
آیا همه سایتهای وردپرسی در معرض این آسیبپذیری هستند؟
خیر. برای سوءاستفاده از این آسیبپذیری، هم استفاده از Imagick و Ghostscript و هم داشتن حسابی با قابلیت upload_files ضروری است.
آیا نقش Contributor میتواند از این آسیبپذیری استفاده کند؟
در نصب پیشفرض وردپرس، Contributor امکان آپلود فایل ندارد و بنابراین دسترسی مورد نیاز برای این مسیر حمله را در اختیار ندارد.
از کجا بفهمیم Ghostscript روی هاست فعال است؟
از پیشخوان وردپرس وارد Tools → Site Health → Info → Media Handling شوید و اطلاعات مربوط به ImageMagick و Ghostscript را بررسی کنید.
آیا اگر فقط یک مدیر سایت داشته باشیم باز هم باید WordPress 7.0.4 را نصب کنیم؟
بله. حتی اگر مسیر حمله فعلی برای سایت شما قابل استفاده نباشد، نصب نسخههای امنیتی وردپرس برای حفظ امنیت سایت توصیه میشود.
آیا بهروزرسانی WordPress 7.0.4 بهصورت خودکار انجام میشود؟
اگر بهروزرسانی خودکار نسخههای جزئی وردپرس فعال باشد، این نسخه ممکن است بهصورت خودکار نصب شود. با این حال، بهتر است نسخه فعلی را از بخش Updates بررسی کنید.
آیا فقط آپدیت وردپرس برای امنیت سایت کافی است؟
خیر. امنیت سایت وردپرسی به هسته وردپرس، افزونهها، قالب، PHP، تنظیمات سرور، سطح دسترسی کاربران و سایر لایههای امنیتی وابسته است.
اگر سایت من WordPress 4.6 یا قدیمیتر باشد چه کنم؟
بهتر است در اولین فرصت برای انتقال سایت به یک نسخه پشتیبانیشده برنامهریزی کنید. نسخههای بسیار قدیمی وردپرس دیگر چرخه مناسبی از بهروزرسانیهای امنیتی دریافت نمیکنند.
آیا باید افزونهها و قالب را هم بعد از این آپدیت بررسی کنیم؟
بله. این آسیبپذیری مربوط به WordPress Core است، اما افزونهها و قالبها نیز میتوانند آسیبپذیریهای مستقل داشته باشند. بنابراین بهروزرسانی امنیتی باید شامل تمام اجزای سایت باشد.
