ووردبريس تفحص كل إصدار إضافة بالذكاء الاصطناعي قبل وصوله إلى موقعك: ماذا يعني ذلك للمطوّرين؟

الإضافات هي أضعف حلقة في أمن ووردبريس منذ سنوات: كود طرف ثالث يُحدَّث بنقرة واحدة على آلاف المواقع، وإذا اخترق مهاجم حساب مطوّر واحد فقد يصل إلى كل موقع يستخدم إضافته. في 9 سبتمبر 2026 أعلن فريق الإضافات في WordPress.org عن خطوة تغيّر هذه المعادلة: مراجعة أمنية آلية لكل إصدار، تعتمد على عدة نماذج ذكاء اصطناعي مع أداة Jetpack Scan، وتحجب الإصدار تلقائياً إن بدا عالي الخطر قبل أن يصل إلى أي موقع.

ما الذي تغيّر بالضبط؟

القصة بدأت بخطوة سابقة: منذ 5 يونيو يمر كل إصدار لإضافة أو قالب بـفترة تهدئة (Cooldown) قبل توزيعه عبر واجهة التحديثات في WordPress.org، بما في ذلك التحديث بنقرة واحدة من لوحة التحكم. بدأت الفترة 24 ساعة ثم خُفّضت إلى 6 ساعات. الجديد أن هذه الفترة لم تعد انتظاراً سلبياً، بل صارت نافذة للفحص.

كيف تجري المراجعة؟

• تُحلَّل التغييرات في كل إصدار بواسطة عدة نماذج ذكاء اصطناعي إلى جانب Jetpack Scan.
• تُقارَن النتائج وتُدمج في ملاحظات مع درجة أمنية؛ كلما ارتفعت زادت المخاطر المحتملة.
• التقاطع بين عدة أدوات يرفع الدقة ويقلل الإنذارات الكاذبة، لكنه لا يلغيها.

ماذا يحدث بعد الفحص؟

المواقع لا تُعرض عليها النسخة المحجوبة كتحديث، بل تواصل تلقي آخر نسخة موزّعة سابقاً. ولإزالة الحجب على المطوّر أن يراجع الملاحظات، ويعالج المشكلات، وينشر إصداراً جديداً.

الدرجة العالية لا تعني نية خبيثة؛ ثغرة غير مقصودة قد تحصل على الدرجة نفسها التي تحصل عليها شيفرة خلفية مزروعة عمداً.

لماذا الآن؟ حادثة 28 يوليو

بحسب إعلان الفريق، اكتشفت المراجعة الآلية في 28 يوليو باب خلفياً أُدخل في إصدار إضافة يستخدمها نحو 20 ألف موقع نشط. حصل الإصدار على درجة خطر مرتفعة، ولم يُوزَّع أصلاً لأنه كان ما يزال داخل فترة التهدئة. أُغلقت الإضافة للتنزيل بعد 26 دقيقة من إبلاغ Wordfence للفريق. وأشار بعض التقارير إلى أن الإغلاق في ذلك اليوم تم يدوياً بعد التنبيه، وهذا هو الدرس: لا يصح أن يعتمد الحجب على وجود عضو فريق متاح، فجاء القرار بأن يكون الحجب آلياً.

ما الذي يعنيه هذا للمطوّر؟

إن كنت تنشر إضافات أو قوالب، فلديك اليوم مرحلة جديدة في خط النشر. بعض الممارسات تقلل احتمال حجب إصدارك:

1. أبقِ التغييرات صغيرة وواضحة. إصدار يخلط إعادة هيكلة ضخمة مع إصلاح صغير يصعّب الفحص ويرفع احتمال الإنذار.
2. تجنّب الشيفرة المبهمة. التشفير بـ base64 أو التنفيذ الديناميكي بلا حاجة يثير المحللين الآليين.
3. اضبط حماية حساب النشر. فعّل المصادقة الثنائية وقلّل عدد من يملكون صلاحية الالتزام؛ فاختراق الحساب هو السيناريو الذي صُمم النظام لمواجهته.
4. راقب بريدك. رسالة الحجب تصل إلى كل أصحاب الصلاحية، فتأكد أن العناوين محدّثة.
5. خطّط لفترة التهدئة. لا تعتمد على وصول إصلاح أمني عاجل إلى المستخدمين خلال دقائق؛ حسب الإعلان الفترة الحالية 6 ساعات.

وإن كنت صاحب موقع؟

لا تحتاج إلى إعداد شيء، لكن الصورة الأمنية لا تكتمل بهذا وحده. يبقى عليك تحديث الإضافات بانتظام، وحذف ما لا تستخدمه، واختيار إضافات لها سجل صيانة جيد، والاحتفاظ بنسخ احتياطية. المراجعة الآلية تقلل خطر وصول إصدار ملغّم عبر قناة التحديث الرسمية، لكنها لا تحمي من الإضافات المثبّتة يدوياً من مصادر خارج المستودع الرسمي.

حدود هذا النهج

من المهم الحذر من المبالغة. النماذج قد تفوّت أنماطاً جديدة من الهجمات، وقد تُنتج إنذارات كاذبة تعطّل إصلاحاً مشروعاً. كما أن تقليص فترة التهدئة من 24 إلى 6 ساعات يعني مفاضلة صريحة بين سرعة وصول التحديثات وسعة الوقت المتاح للفحص. وتبقى المراجعة البشرية وتبليغات الباحثين الأمنيين ضرورية، كما أظهرت حادثة يوليو نفسها. لكن الفكرة تستحق الاهتمام خارج ووردبريس: فحص آلي متعدد الأدوات داخل نافذة زمنية قبل التوزيع نموذج يمكن لأي مستودع حزم أو متجر إضافات أن يتبناه، خصوصاً في زمن تُكتب فيه كميات كبيرة من الكود بمساعدة الوكلاء.

كيف تجهّز خط النشر لديك؟

الفريق الذي ينشر إضافة على المستودع الرسمي يستفيد من إضافة خطوات صغيرة قبل كل إصدار، حتى لا يفاجئه حجب في منتصف يوم عمل:

• افحص الفروقات بنفسك. اقرأ الفرق بين الإصدارين سطراً سطراً قبل الدفع، وكأنك المحلّل الآلي. أي استدعاء شبكي جديد أو كتابة على الملفات أو تنفيذ لكود قادم من الخارج يجب أن يكون له سبب واضح موثّق في سجل التغييرات.
• ثبّت التبعيات. استخدم ملف قفل للحزم وراجع التحديثات الآلية للمكتبات، فمعظم هجمات سلسلة التوريد تدخل عبر تبعية فرعية لا عبر كودك المباشر.
• افصل صلاحية النشر. اجعل النشر من حساب أو مفتاح مخصص له أضيق الصلاحيات، ولا تشاركه في رسائل أو سجلات.
• جرّب إصدارات التحضير. انشر النسخة على بيئة تجريبية أولاً، وراجع سلوكها مع أدوات فحص مجانية، ثم ارفعها للمستودع.
• وثّق قراراتك الأمنية. إن كان في كودك استعمال مشروع لدوال تبدو خطرة، فاشرح السبب في تعليق واضح؛ سيوفّر ذلك وقتك ووقت المراجع البشري إن احتجت إلى تظلّم.

هذه الإجراءات لا تضمن اجتياز الفحص، لكنها تقلّل المفاجآت وتجعل أي حجب يحدث سهل التشخيص والإصلاح، وهذا بالضبط ما يهمّ في مرحلة تتحول فيها المراجعة الأمنية من جهد بشري متقطع إلى بوابة دائمة تعمل مع كل إصدار.

أسئلة شائعة

هل ستتأخر تحديثات الإضافات عن موقعي؟

نعم بمقدار فترة التهدئة، وهي حالياً 6 ساعات بعد أن كانت 24 ساعة. الإصدارات الآمنة تُوزَّع بعدها طبيعياً دون أي إجراء منك.

هل يعني الحجب أن المطوّر مخادع؟

لا. الدرجة تقيس مستوى الخطر لا النية، ولذلك يصل المطوّر بريد بالنتائج ويستطيع إصلاحها ونشر إصدار جديد.

ماذا لو حُجب إصدار فيه إصلاح أمني عاجل؟

يستمر الموقع بتلقي آخر نسخة موزّعة سابقاً. على المطوّر معالجة الملاحظات ونشر إصدار جديد، ويُفضّل أن يتواصل مع فريق الإضافات إن كان الأمر عاجلاً.

الخلاصة

حوّل WordPress.org فترة التهدئة من انتظار إلى فحص: عدة نماذج وJetpack Scan تقيّم كل إصدار، والإصدارات عالية الخطر تُحجب تلقائياً قبل أن تصل إلى المواقع. أثبتت حادثة الباب الخلفي في يوليو قيمة هذا النهج، لكنه طبقة دفاع واحدة لا بديل عن الممارسات الأساسية: حماية حسابات النشر، وتغييرات صغيرة واضحة، وتحديث منتظم وإدارة واعية للإضافات.

المصادر: إعلان فريق الإضافات، التوثيق الرسمي، Help Net Security، The Hacker News.