wordpress-upgrade-check

فحص للقراءة فقط لـ إصدار نواة WordPress لكل موقع على الخادم، مع جدول الإصلاحات الخاص بـ CVE-2026-87902 (حرج، بدون مصادقة؛ تم إصلاحه في WordPress 7.1.2 بتاريخ 2026-09-22 وتم نقله إلى كل الفروع وصولاً إلى 4.7).

لوكالات الويب والمسؤولين الذين يعتنون بالعديد من مواقع WordPress: شغّله مرة واحدة على حساب الاستضافة بالكامل واحصل على قائمة واحدة.

日本語は下にあります

bash check.sh ~/public_html                         # every WordPress under the folder
bash check.sh --log ~/logs/access_log ~/public_html  # also search an access log for attack requests (.gz OK)
bash check.sh --online ~/public_html                 # also ask api.wordpress.org: core status, and every plugin / theme vs its latest version
bash check.sh --list ~/public_html                   # print every plugin and theme with its version
bash check.sh --csv inventory.csv ~/public_html      # write the plugin / theme inventory of all sites to a CSV

• للقراءة فقط على مواقعك. لا يشغّل PHP أو WP-CLI أو أي كود من المواقع، ولا يطبع أسرار wp-config.php (يتم فحص ثابتَي التحديث التلقائي فقط). --csv يكتب فقط الملف الذي تسمّيه.
• لا وصول للشبكة إلا مع --online: عندها يسأل api.wordpress.org (وليس مواقعك أبداً) مرة واحدة لقائمة النواة ومرة لكل slug من الإضافات / القوالب. لاحظ أن هذا يخبر wordpress.org عن slugs الإضافات التي تفحصها.
• يعمل مع bash 3.2+ (macOS) و Linux، بما في ذلك الاستضافة المشتركة مع SSH. يحتاج find، grep، sed، awk.
• رمز الخروج 1 إذا كان أي شيء CRITICAL.

ما الذي يفحصه

الإضافات تسبب معظم اختراقات WordPress الفعلية. جرد CSV مخصص لفحصه مقابل قاعدة بيانات ثغرات مثل Wordfence Intelligence، WPScan أو Patchstack. الإضافات المدفوعة أو المخصصة ليست على wordpress.org؛ يعلّمها CSV حتى تتمكن من التحقق مع مورديها.

الإصدارات المُصلَّحة (من GHSA-7hp8-65ch-5whp، تم التحقق منها مقابل api.wordpress.org/core/stable-check بتاريخ 2026-09-26):

الإصدار الأخير فقط (7.1.x) مدعوم بشكل نشط؛ تلقت الفروع الأقدم هذا الإصلاح كمجاملة.

إذا أبلغ عن CRITICAL

1. حدّث الآن: لوحة التحكم → التحديثات، أو لوحة تحكم مضيفك. انسخ احتياطياً الملفات وقاعدة البيانات أولاً إن أمكن.
2. إذا تم الرد على طلب هجوم بـ 200، أو وُجد ملف مؤشر: تعامل مع الموقع كموقع مخترق محتمل. ابحث عن مستخدمي admin لا تعرفهم، وملفات PHP في uploads و /tmp، وغيّر كلمات المرور والمفاتيح بعد التنظيف.
3. حل مؤقت حتى تتمكن من التحديث: احجب الطلبات التي يحتوي pagename فيها على ../ أو %2e%2e على WAF الخاص بك.

المصادر

• WordPress 7.1.2 Release (WordPress.org, 2026-09-22)
• GHSA-7hp8-65ch-5whp
• CVE-2026-87902: Attackers started probing WordPress sites hours after the patch (Patchstack) — attack requests, preconditions, indicators

الحدود

• بالنسبة للإضافات والقوالب يعرف الإصدار، وما إذا كان هناك إصدار أحدث، وما إذا كان wordpress.org قد أغلقها. لا يعرف أي الإصدارات مصابة؛ افحص CSV مقابل قاعدة بيانات ثغرات.
• المؤشرات هي المؤشرات المنشورة؛ [ok] لا يثبت أن الموقع لم يُهاجَم أبداً.

هل تنتقل إلى PHP 8 أيضاً؟ راجع php8-upgrade-check.

日本語

サーバーにあるすべての WordPress の本体の版を、読み取りだけで確かめるスクリプトです。 2026-09-22 の WordPress 7.1.2 で直った重大な脆弱性 CVE-2026-87902（ログイン不要）の修正済みの版を、系列ごとに持っています。

bash check.sh ~/public_html                         # フォルダの下の WordPress を全部
bash check.sh --log ~/logs/access_log ~/public_html  # アクセスログから攻撃の痕跡も探す（.gz も可）
bash check.sh --online ~/public_html                 # wordpress.org に、本体とプラグイン・テーマが最新か・危険かも問い合わせる
bash check.sh --list ~/public_html                   # プラグインとテーマを版つきで一覧に
bash check.sh --csv inventory.csv ~/public_html      # 全サイトのプラグイン・テーマの一覧を CSV に

• サイトに対しては読み取りだけです。PHP も WP-CLI もサイトのコードも実行せず、wp-config.php の秘密の値も表示しません
• --online のときだけ api.wordpress.org に問い合わせます（本体の一覧で 1 回、プラグイン・テーマごとに 1 回。あなたのサイトには接続しません）
• wordpress.org で「セキュリティの問題」で配布停止になったプラグインが入っていたら CRITICAL にします。修正が二度と出ないためです
• WordPress の実際の被害は、プラグインの脆弱性によるものが多いです。CSV の一覧を、Wordfence・WPScan・Patchstack などの脆弱性データベースと照らし合わせてください
• レンタルサーバーでも、SSH が使えれば動きます

CRITICAL が出たら

1. すぐ更新する（管理画面の「更新」、またはサーバー会社の管理画面）。できれば先にバックアップ
2. 攻撃の通信に 200 で応えていた、または痕跡のファイルがあった場合は、侵入された前提で調べる （知らない管理者ユーザー、uploads や /tmp の PHP ファイル。掃除のあとでパスワードと鍵を変える）
3. すぐ更新できない間は、pagename に ../ や %2e%2e を含む通信を WAF で止める

更新を代わりに行う定額のメニューもあります（1 サイト・税別 5 万円）： WordPress・PHP の更新（IT.Skill）

License

MIT