افزونه The Events Calendar یکی از ابزارهای شناخته‌شده وردپرس برای مدیریت رویدادها و نمایش تقویم در وب‌سایت است؛ اما دو آسیب‌پذیری امنیتی در این افزونه نشان داده‌اند که حتی قابلیت‌هایی مانند ثبت دیدگاه و پیش‌نمایش محتوای تأییدنشده نیز می‌توانند به نقطه ورود مهاجمان تبدیل شوند.
بر اساس گزارشی که در ۲ آبان ۱۴۰۵ (۲۴ اکتبر ۲۰۲۶) در وب‌سایت Cybersecurity Insiders منتشر شد، این آسیب‌پذیری‌ها می‌توانند به مهاجم بدون نیاز به ورود به حساب کاربری اجازه دهند کد دلخواه را روی سرور اجرا کند.
این مشکل برای وب‌سایت‌هایی اهمیت ویژه‌ای دارد که از نسخه‌های آسیب‌پذیر افزونه استفاده می‌کنند و دیدگاه‌ها در صفحات رویداد آن‌ها فعال است.
جزئیات آسیب‌پذیری‌های امنیتی The Events Calendar
گزارش‌های امنیتی دو نقص مجزا را در افزونه The Events Calendar شناسایی کرده‌اند. هر دو آسیب‌پذیری به نحوه پردازش داده‌های کنترل‌شده توسط کاربر و عبور این داده‌ها از مسیرهای حساس برنامه مربوط هستند.
| شناسه آسیب‌پذیری | شرح مشکل |
|---|---|
| CVE-2026-78006 | نقص در بررسی ایمنی داده‌های سریال‌شده PHP که می‌تواند به اجرای کد دلخواه منجر شود. |
| CVE-2026-78159 | اعتبارسنجی ناکافی داده‌های آرایه‌ای و امکان سوءاستفاده از توابع قابل فراخوانی. |
هر دو آسیب‌پذیری در نسخه ۶.۱۷.۴.۱ اصلاح شده‌اند. نسخه‌های تا و شامل ۶.۱۷.۴ در محدوده آسیب‌پذیر این دو نقص قرار دارند.
مهاجمان چگونه از این آسیب‌پذیری‌ها سوءاستفاده می‌کنند؟
نکته اصلی این حادثه، نحوه برخورد افزونه با محتوایی است که هنوز تأیید نشده است. در شرایط عادی، وردپرس به کاربران اجازه می‌دهد دیدگاه خود را ثبت کنند و در برخی شرایط پیش‌نمایش دیدگاه در انتظار تأیید را ببینند. این قابلیت به‌خودی‌خود یک نقص امنیتی نیست؛ مشکل زمانی ایجاد می‌شود که محتوای کنترل‌شده توسط مهاجم، پیش از اعتبارسنجی مناسب وارد مسیر پردازش حساس شود.
طبق تحلیل‌های امنیتی منتشرشده، مهاجم می‌تواند با ارسال یک دیدگاه دست‌کاری‌شده به صفحه عمومی رویداد، مسیر پردازش آسیب‌پذیر افزونه را فعال کند. در این شرایط، محتوای مخرب ممکن است پیش از تأیید مدیر سایت پردازش شود و نقص موجود امکان اجرای کد دلخواه را فراهم کند.
این حمله به کلیک مدیر روی یک لینک مخرب وابسته نیست. به همین دلیل، صرفاً بررسی دیدگاه‌ها و تأیید نکردن موارد مشکوک، راهکار مطمئنی برای رفع مشکل محسوب نمی‌شود.
چه خطراتی وب‌سایت‌های وردپرسی را تهدید می‌کند؟
اجرای کد از راه دور یا Remote Code Execution که به اختصار RCE نامیده می‌شود، یکی از آسیب‌پذیری‌های جدی در امنیت برنامه‌های تحت وب است. در این وضعیت، مهاجم ممکن است بتواند دستوراتی را در محیط سرور اجرا کند؛ البته میزان دسترسی نهایی به مجوزهای فرایند وب، تنظیمات سرور و شرایط اجرای حمله بستگی دارد.
در صورت سوءاستفاده موفق از این نقص‌ها، خطرات احتمالی عبارت‌اند از:
- دسترسی غیرمجاز به مدیریت سایت: تغییر رمز عبور مدیر یا ایجاد حساب مدیریتی غیرمجاز.
- تزریق کد مخرب: قرار دادن کد ناخواسته در فایل‌های سایت یا بخش‌های اجرایی آن.
- سرقت اطلاعات: دسترسی احتمالی به داده‌های سایت در محدوده مجوزهای به‌دست‌آمده.
- تغییر محتوای صفحات: هدایت کاربران به صفحات جعلی یا نمایش محتوای ناخواسته.
- استفاده از سایت برای حملات بیشتر: بهره‌برداری از وب‌سایت آسیب‌دیده برای توزیع بدافزار یا انجام فعالیت‌های مخرب دیگر.
این پیامدها به معنای آلوده شدن قطعی تمام سایت‌های دارای افزونه نیستند؛ وقوع آن‌ها به نسخه نصب‌شده، شرایط حمله و موفقیت سوءاستفاده بستگی دارد.
چه نسخه‌ای از The Events Calendar آسیب‌پذیر است؟
طبق اطلاعیه امنیتی CERT Vanuatu که در ۲۱ شهریور ۱۴۰۵ (۱۲ سپتامبر ۲۰۲۶) منتشر شد، نسخه‌های The Events Calendar تا و شامل نسخه ۶.۱۷.۴ آسیب‌پذیر هستند و نسخه ۶.۱۷.۴.۱ یا بالاتر اصلاحات مربوط به این دو نقص را دارد.
اگر از این افزونه در سایت خود استفاده می‌کنید، اقدامات زیر را انجام دهید:
- وارد پیشخوان وردپرس شوید.
- به بخش «افزونه‌ها» و سپس «افزونه‌های نصب‌شده» بروید.
- نسخه نصب‌شده The Events Calendar را بررسی کنید.
- اگر نسخه شما قدیمی‌تر از ۶.۱۷.۴.۱ است، از فایل‌ها و پایگاه داده نسخه پشتیبان بگیرید و افزونه را به نسخه امن ارتقا دهید.
- پس از به‌روزرسانی، عملکرد صفحات رویداد، ثبت دیدگاه‌ها و قابلیت‌های وابسته را بررسی کنید.
نکته مهم: نسخه ۶.۱۷.۴.۱ حداقل نسخه اصلاح‌شده برای این دو آسیب‌پذیری است، نه لزوماً آخرین نسخه موجود. بهتر است افزونه را به جدیدترین نسخه پایدار سازگار با سایت خود ارتقا دهید و سایر اصلاحات امنیتی منتشرشده را نیز بررسی کنید.
اگر فعلاً امکان به‌روزرسانی نداریم، چه کنیم؟
راهکار اصلی، نصب نسخه اصلاح‌شده است. اگر به هر دلیل نمی‌توانید فوراً افزونه را به‌روزرسانی کنید، طبق توصیه CERT Vanuatu، غیرفعال کردن دیدگاه‌ها در صفحات رویداد می‌تواند به‌طور موقت مسیر مشخص سوءاستفاده از این دو آسیب‌پذیری را مسدود کند.
بااین‌حال، این اقدام جایگزین به‌روزرسانی نیست. پس از رفع موقت مسیر حمله نیز باید برای نصب نسخه امن برنامه‌ریزی کنید.
همچنین، اگر احتمال می‌دهید سایت پیش از به‌روزرسانی مورد حمله قرار گرفته باشد، صرف نصب نسخه جدید را به معنای پاک بودن سایت در نظر نگیرید. موارد زیر را بررسی کنید:
- حساب‌های مدیریتی ناشناس یا تغییرات غیرمنتظره در کاربران.
- فایل‌های جدید یا مشکوک در پوشه‌های افزونه‌ها و
wp-content/uploads. - تغییرات غیرمجاز در فایل‌های اصلی وردپرس یا قالب.
- درخواست‌های خروجی غیرعادی و گزارش‌های مشکوک سرور.
- تغییرات غیرمنتظره در رمزهای عبور یا تنظیمات سایت.
در صورت مشاهده نشانه‌های نفوذ، بررسی گزارش‌های امنیتی و پاک‌سازی سایت را به فرد متخصص بسپارید. پیش از حذف فایل‌ها یا اعمال تغییرات گسترده نیز از وضعیت فعلی نسخه پشتیبان تهیه کنید تا شواهد احتمالی از بین نروند.
جمع‌بندی: امنیت افزونه‌ها را جدی بگیرید
آسیب‌پذیری‌های CVE-۲۰۲۶-۷۸۰۰۶ و CVE-۲۰۲۶-۷۸۱۵۹ نشان می‌دهند که نقص در پردازش محتوای کاربر می‌تواند به مشکلاتی فراتر از نمایش اشتباه اطلاعات منجر شود. در این مورد، دو مسیر متفاوت در افزونه The Events Calendar می‌توانند به اجرای کد از راه دور منتهی شوند.
اگر این افزونه روی سایت شما نصب است، نسخه آن را بررسی کنید و در صورت استفاده از نسخه آسیب‌پذیر، آن را به نسخه ۶.۱۷.۴.۱ یا بالاتر ارتقا دهید. اگر احتمال می‌دهید سایت پیش‌تر مورد حمله قرار گرفته است، بررسی امنیتی را نیز در برنامه خود قرار دهید.
پیشنهاد امنیتی: به‌روزرسانی منظم وردپرس، قالب‌ها و افزونه‌ها، تهیه نسخه پشتیبان و بررسی دوره‌ای کاربران و فایل‌های سایت را به بخشی از برنامه نگهداری وب‌سایت خود تبدیل کنید.
