CVE-2026-63030: شرح RCE قبل المصادقة في ووردبريس

📖 اقرأ التحليل الفني الكامل أولاً: CVE-2026-63030: شرح RCE قبل المصادقة في ووردبريس

يحتوي هذا المستودع على إثبات المفهوم للاستغلال المشار إليه في تلك المقالة. ابدأ بالمدونة لفهم الثغرة، القيود، وعملية إعادة الإنتاج.

حقائق سريعة

ما بداخل هذا المستودع

يحتوي هذا المستودع على:

• wordpress-rest-exploit.py — أداة استغلال بايثون في ملف واحد (1,005 سطر، بدون تبعيات)
• README.md — هذا الملف مع إعدادات الاستخدام
• POC.md — دليل إعادة إنتاج خطوة بخطوة مع أمثلة حقيقية
• LICENSE — ترخيص MIT

فهم الثغرة

قبل استخدام هذا الاستغلال، افهم القيود الحرجة التي تجعل هذه الثغرة مختلفة عن كيفية الإبلاغ عنها:

الفجوة بين النظرية والتطبيق

سلسلة الثغرة حقيقية وحرجة. ومع ذلك:

• ✅ كشف الثغرة يعمل بشكل مثالي (أقل من ثانية)
• ✅ حقن SQL مؤكد قابل للاستغلال (إثبات قائم على التوقيت)
• ✅ الوصول إلى قاعدة البيانات ممكن (استخراج SQL أعمى)
• ❌ فشل الاستغلال الآلي في 70% من مواقع الإنتاج

لماذا؟ يسمح ووردبريس ببادئات جداول قاعدة بيانات مخصصة. الافتراضي هو wp_، لكن معظم المواقع المحصنة أمنيًا تستخدم bw1w_، أو wordpress_، أو سلاسل عشوائية. بدون معرفة البادئة، يفشل استخراج التجزئة بصمت.

اقرأ القصة كاملة

تشرح مقالة المدونة:

1. لماذا هذه الثغرة حرجة
2. بالضبط كيف أعدنا إنتاجها
3. أين تنكسر سلسلة الاستغلال
4. التأثير الواقعي والجدول الزمني
5. ما يعمل فعليًا وما لا يعمل

👉 اقرأ التحليل الكامل

المتطلبات

• بايثون 3.8+
• المكتبة القياسية فقط (لا تبعيات خارجية)
• الهدف: ووردبريس 6.9.0–7.0.1 (الإصدارات الضعيفة)

الاستخدام

الوضع التفاعلي (موصى به)

./wordpress-rest-exploit.py

ستوجهك الأداة خلال:

1. عنوان الهدف — أي موقع ووردبريس تختبره
2. كشف الثغرة — تأكيد التعرض لـ CVE-2026-63030
3. قائمة الخيارات:
   • قراءة بصمة قاعدة البيانات (إصدار MySQL، المستخدم، قاعدة البيانات)
   • استخراج أسماء المستخدمين وتجزئات كلمات المرور لووردبريس
   • تنفيذ استعلام SQL مخصص
   • نشر شل إضافي (webshell) عبر إضافة (يتطلب صلاحيات المسؤول)
   • تأكيد حقن SQL باستخدام حمولة توقيت

مثال جلسة

CVE-2026-63030: WordPress REST Batch Route-Confusion SQLi
------------------------------------------------------------

Target URL: https://example.com/
[*] جاري التحقق مما إذا كان الهدف ضعيفًا لـ CVE-2026-63030...
[+] تم الكشف عن ووردبريس 7.0 (إصدار متأثر)
[+] ضعيف - تم تأكيد سلوك ارتباك المسار للدفعات

ماذا تريد أن تفعل؟
  1) قراءة بصمة قاعدة البيانات
  2) استخراج أسماء المستخدمين وتجزئات كلمات المرور لووردبريس
  3) تنفيذ استعلام SQL مخصص
  4) نشر شل إضافي عبر إضافة (يتطلب صلاحيات المسؤول)
  5) تأكيد حقن SQL باستخدام حمولة توقيت
  6) خروج

اختر الخيار [1]: 

القيد الحرج: بادئة جدول قاعدة البيانات

هذا ضروري لفهمه قبل استخدام الاستغلال.

المشكلة

يسمح ووردبريس ببادئات جداول قاعدة بيانات مخصصة لتعزيز الأمان. لا تستطيع أداة الاستغلال اكتشاف البادئة تلقائيًا.

✅ البادئة الافتراضية (wp_):        الاستغلال يعمل
❌ بادئة مخصصة (bw1w_، إلخ):       الاستغلال يفشل بصمت

خيارات الحل

عندما تطلب الأداة بادئة الجدول:

الخيار 1: أنت تعرف البادئة

بادئة جدول قاعدة البيانات [wp_]: bw1w_
[+] جاري الاستعلام عن bw1w_users...
[+] تم العثور على بيانات الاعتماد!

الخيار 2: تخمين البادئات الشائعة

• wp_ (الافتراضي)
• wordpress_
• bw1w_ (تعزيز أمني شائع)
• wpdb_
• أنماط أبجدية رقمية مخصصة

الخيار 3: وصول مباشر إذا كان لديك وصول SSH أو يمكنك قراءة wp-config.php:

$table_prefix = 'bw1w_';  // وجدتها!

الخيار 4: القوة الغاشمة عبر SQLi يمكن للأداة محاولة البادئات الشائعة من خلال حقن SQL الأعمى (بطيء ولكنه ممكن).

سير عمل الاستغلال

المرحلة 1: الكشف ✅

• يكتشف علامات CVE-2026-63030
• استجابة HTTP 207 مع رموز خطأ ضعيفة
• الوقت: أقل من ثانية
• معدل النجاح: 100% على الإصدارات المتأثرة

المرحلة 2: تأكيد حقن SQL ✅

• إثبات قائم على التوقيت لـ SQLi
• يرسل حمولة SLEEP(3)
• يقيس تأخير الاستجابة
• الوقت: 5–10 ثوانٍ
• معدل النجاح: 100%

المرحلة 3: بصمة قاعدة البيانات ✅

• استخراج إصدار MySQL، المستخدم، اسم قاعدة البيانات
• لا حاجة لمعرفة البادئة
• الوقت: 2–5 دقائق
• معدل النجاح: 100%

المرحلة 4: استخراج بيانات الاعتماد ⚠️

• الاستعلام عن جدول wp_users (أو بادئة مخصصة)
• استخراج اسم المستخدم، البريد الإلكتروني، تجزئة كلمة المرور
• يتطلب معرفة بادئة الجدول الصحيحة
• الوقت: أكثر من 30 دقيقة (SQL الأعمى بطيء)
• معدل النجاح: 0% بدون بادئة؛ 100% معها

المرحلة 5: فك تجزئة كلمة المرور ⏳

• فك تشفير bcrypt دون اتصال
• يتطلب GPU لسرعة معقولة
• الوقت: 10 دقائق – أكثر من 72 ساعة (يعتمد على كلمة المرور)
• معدل النجاح: يعتمد على تعقيد كلمة المرور

المرحلة 6: المصادقة ✅

• تسجيل الدخول ببيانات الاعتماد المستعادة
• إنشاء جلسة مسؤول
• الوقت: أقل من ثانية
• معدل النجاح: 100% (بيانات الاعتماد صالحة)

المرحلة 7: نشر الشل الإضافي ✅

• رفع شل PHP كإضافة
• اسم عشوائي + رمز لكل تشغيل
• الوقت: أقل من 5 ثوانٍ
• معدل النجاح: 100% (مصادق)

المرحلة 8: تنفيذ أوامر عن بُعد ✅

• تنفيذ أوامر النظام عبر الشل
• اختراق كامل للنظام
• الوقت: فوري
• معدل النجاح: 100%

الجدول الزمني الواقعي

• بدون معرفة البادئة: يتوقف الاستغلال عند المرحلة 4 ❌
• مع كلمة مرور ضعيفة: 35–40 دقيقة إجمالاً ✅
• مع كلمة مرور قوية: 2–4 ساعات إجمالاً ✅

إعادة الإنتاج خطوة بخطوة

للحصول على إعادة إنتاج مفصلة مع مخرجات أوامر حقيقية وأمثلة، انظر:

👉 POC.md — دليل كامل من 8 مراحل

يتضمن هذا الدليل:

• مخرجات الأداة الفعلية
• استخراج بيانات اعتماد حقيقية
• عرض توضيحي لفك تجزئة كلمة المرور
• نشر الشل الإضافي
• تأكيد RCE مع أمثلة أوامر
• رسم بياني لمسار الهجوم
• ملخص النتائج الرئيسية

الإصلاح

لأصحاب مواقع ووردبريس

قم بالتحديث فورًا (أعلى أولوية):

# تحديث إلى الإصدارات المصححة
WordPress 7.0.2 or 6.9.5

إذا كان التحديث الفوري مستحيلاً:

1. حظر نقطة نهاية الدفعات عند WAF/الوكيل العكسي:

   root@kitploit:~

   Block: /wp-json/batch/v1
   Block: /?rest_route=/batch/v1
   

2. أو تعطيل REST API بالكامل (أقل مثالية):

   root@kitploit:~

   // أضف إلى wp-config.php أو mu-plugins
   add_filter('rest_endpoints_enabled', '__return_false');
   

3. أو طلب المصادقة:

   root@kitploit:~

   add_filter('rest_pre_dispatch', function($response) {
       if (strpos($_SERVER['REQUEST_URI'], '/batch/v1') !== false) {
           if (!is_user_logged_in()) {
               return new WP_Error('rest_batch_unauthenticated', 'ممنوع', ['status' => 401]);
           }
       }
       return $response;
   }, 10, 1);
   

للباحثين الأمنيين

1. افهم القيد: البادئات المخصصة للجداول تمنع الاستغلال الآلي
2. حدد البادئة: استخدم الوصول المباشر، القوة الغاشمة، أو اسأل العميل
3. خطط وفقًا لذلك: خصص أكثر من 30 دقيقة لـ SQL الأعمى إذا كانت البادئة غير معروفة
4. احصل على بيانات الاعتماد: قد يستغرق فك تشفير كلمة مرور المسؤول ساعات (مسرّع GPU)

رؤى رئيسية

قانوني

لأغراض الاختبار الأمني المصرح به فقط. استخدم حصريًا ضد الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها. لا يتم تقديم أي ضمان ولا يتم قبول أي مسؤولية عن سوء الاستخدام.

المراجع

• مقالة المدونة: CVE-2026-63030: شرح RCE قبل المصادقة في ووردبريس
• دليل خطوة بخطوة: POC.md
• تنبيه Searchlight Cyber: https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/
• أداة فحص الثغرات: https://wp2shell.com/
• إصدار ووردبريس 7.0.2: https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
• NVD CVE-2026-63030: https://nvd.nist.gov/vuln/detail/CVE-2026-63030
• NVD CVE-2026-60137: https://nvd.nist.gov/vuln/detail/CVE-2026-60137

عن هذا المشروع

البحث والتطوير: Easin Arafat
GitHub: @mrx-arafat
الموقع: arafatops.com

يوضح هذا الإثبات المفاهيمي سلسلة ثغرة wp2shell في ووردبريس مع تقنيات استغلال عملية، كشف الثغرات، ونتائج اختبار واقعية. ابدأ بمقالة المدونة لفهم السياق الكامل.

آخر تحديث: يوليو 2026
الترخيص: MIT