یکی از نگرانی‌های همیشگی مدیران سایت‌های وردپرسی، امنیت افزونه‌هاست. ممکن است یک افزونه مدت‌ها بدون مشکل کار کند، اما با انتشار نسخه جدید، آسیب‌پذیری امنیتی یا حتی کد مخربی وارد سایت شود. به همین دلیل، وردپرس به سمت بررسی خودکار امنیت نسخه‌های جدید افزونه‌ها رفته است تا نسخه‌های پرخطر قبل از رسیدن به دست کاربران متوقف شوند.
اما این سیستم دقیقاً چگونه کار می‌کند؟ آیا هوش مصنوعی تمام افزونه‌های وردپرس را بررسی می‌کند؟ اگر یک نسخه مشکوک شناسایی شود، چه اتفاقی می‌افتد؟ و مهم‌تر از همه، آیا با این قابلیت دیگر لازم نیست نگران امنیت سایت خودمان باشیم؟
در این مقاله از لامرد وب، سازوکار جدید بررسی امنیت افزونه‌ها در مخزن رسمی وردپرس را به زبان ساده بررسی می‌کنیم.
بررسی خودکار امنیت افزونه‌های وردپرس چیست؟
تیم وردپرس در سپتامبر ۲۰۲۶ از راه‌اندازی فرایندی خبر داد که در آن، نسخه‌های جدید افزونه‌های منتشرشده در مخزن رسمی WordPress.org پیش از توزیع از طریق سامانه به‌روزرسانی وردپرس، به‌صورت خودکار از نظر امنیتی بررسی می‌شوند.
هدف اصلی این قابلیت، شناسایی مشکلات امنیتی احتمالی در نسخه‌های جدید و جلوگیری از انتشار نسخه‌هایی است که ریسک امنیتی بالایی دارند.
نکته مهم اینجاست که این بررسی فقط به زمان ارسال اولیه یک افزونه به مخزن محدود نمی‌شود. نسخه‌های جدید افزونه‌ها نیز بررسی می‌شوند؛ چون ممکن است یک افزونه سالم در نسخه قبلی، در جریان یک به‌روزرسانی دچار مشکل شود.
به زبان ساده، وردپرس می‌خواهد قبل از اینکه یک نسخه پرخطر از مسیر رسمی به‌روزرسانی به سایت‌های کاربران برسد، فرصت شناسایی و متوقف کردن آن را داشته باشد.
سیستم امنیتی جدید وردپرس چگونه کار می‌کند؟
این فرایند را می‌توان در چند مرحله ساده توضیح داد:
۱. نسخه جدید افزونه وارد مرحله انتظار می‌شود
وقتی توسعه‌دهنده یک نسخه جدید از افزونه خود منتشر می‌کند، آن نسخه بلافاصله از طریق API به‌روزرسانی WordPress.org در اختیار سایت‌ها قرار نمی‌گیرد.
طبق اطلاعیه رسمی وردپرس، از ژوئن ۲۰۲۶ برای انتشار نسخه‌های جدید، یک دوره انتظار یا Cooldown در نظر گرفته شده است. مدت این دوره در زمان اعلام سیستم بررسی امنیتی، شش ساعت بود. در این فاصله، نسخه جدید برای بررسی امنیتی نگه داشته می‌شود.
این زمان فرصتی برای شناسایی مشکلات احتمالی قبل از توزیع عمومی نسخه جدید فراهم می‌کند.
۲. کدهای نسخه جدید بررسی می‌شوند
در مرحله بعد، تغییرات نسخه جدید با کمک چند مدل هوش مصنوعی و ابزار امنیتی Jetpack Scan بررسی می‌شوند.
هدف این بررسی، پیدا کردن نشانه‌های احتمالی خطر در کدهای افزونه است. برای مثال، بررسی‌کنندگان می‌توانند موارد مشکوکی را شناسایی کنند که احتمال دارد به آسیب‌پذیری امنیتی یا رفتار مخرب منجر شوند.
نکته مهم این است که سیستم فقط به یک نتیجه اکتفا نمی‌کند؛ نتایج ابزارهای مختلف با یکدیگر مقایسه می‌شوند تا ارزیابی دقیق‌تری از ریسک امنیتی نسخه به دست بیاید. البته این روش هم احتمال خطا را کاملاً از بین نمی‌برد.
۳. برای نسخه افزونه امتیاز ریسک تعیین می‌شود
پس از بررسی کدها، یافته‌های امنیتی با امتیاز ریسک ترکیب می‌شوند. هرچه امتیاز ریسک بالاتر باشد، احتمال وجود مشکل امنیتی جدی‌تر تلقی می‌شود.
در این مرحله دو نتیجه کلی ممکن است اتفاق بیفتد:
- ریسک پایین‌تر از آستانه مسدودسازی: نسخه جدید مسیر عادی انتشار را ادامه می‌دهد.
- ریسک برابر یا بالاتر از آستانه مسدودسازی: توزیع نسخه متوقف می‌شود و توسعه‌دهندگان افزونه از طریق ایمیل درباره یافته‌های امنیتی مطلع می‌شوند.
این امتیاز به‌معنای اثبات مخرب بودن توسعه‌دهنده نیست. ممکن است مشکل به‌صورت ناخواسته و در جریان توسعه افزونه ایجاد شده باشد.
۴. نسخه پرخطر از انتشار بازمی‌ماند
اگر نسخه‌ای پرخطر تشخیص داده شود، از طریق API رسمی به‌روزرسانی وردپرس توزیع نخواهد شد.
در نتیجه، سایت‌هایی که نسخه قبلی افزونه را دارند، آن نسخه مسدودشده را به‌عنوان به‌روزرسانی جدید دریافت نمی‌کنند. این موضوع به جلوگیری از گسترش یک مشکل امنیتی از طریق مسیر رسمی به‌روزرسانی کمک می‌کند.
البته باید به یک نکته توجه داشت: مسدود شدن یک نسخه به معنای حذف کامل افزونه از مخزن وردپرس نیست. ممکن است فقط همان نسخه متوقف شود و صفحه افزونه و نسخه‌های قبلی همچنان در دسترس باقی بمانند.
اگر نسخه افزونه مسدود شود، توسعه‌دهنده باید چه کاری انجام دهد؟
در صورت دریافت ایمیل هشدار، توسعه‌دهنده باید گزارش را بررسی کند. این گزارش شامل خلاصه یافته‌ها، امتیاز ریسک و محل مرتبط با مشکل در کد افزونه است.
مسیر پیشنهادی برای رفع مشکل به این شکل است:
- بررسی دقیق گزارش امنیتی و کدهای علامت‌گذاری‌شده.
- اصلاح مشکل احتمالی در کد افزونه.
- انتشار نسخه جدید با تغییرات اصلاح‌شده.
- عبور نسخه جدید از همان فرایند بررسی امنیتی.
اگر توسعه‌دهنده مطمئن باشد که تشخیص سیستم اشتباه است، می‌تواند از طریق پاسخ به ایمیل اطلاع‌رسانی، موضوع را با تیم مربوطه مطرح کند. بااین‌حال، وردپرس توضیح داده که در بسیاری از موارد، انتشار نسخه اصلاح‌شده سریع‌تر از انتظار برای بررسی اعتراض خواهد بود.
این سیستم چه تأثیری روی امنیت سایت‌های وردپرسی دارد
برای مدیران سایت‌ها، مهم‌ترین مزیت این قابلیت آن است که یک لایه بررسی امنیتی به فرایند انتشار نسخه‌های جدید افزونه‌ها اضافه می‌شود.
تا پیش از چنین فرایندی، ممکن بود نسخه‌ای که شامل آسیب‌پذیری یا کد مخرب بود، منتشر شود و پیش از شناسایی مشکل به سایت‌های زیادی برسد. حالا بررسی خودکار می‌تواند در صورت شناسایی ریسک بالا، انتشار آن نسخه را متوقف کند.
این موضوع برای سایت‌های فروشگاهی، شرکتی و خدماتی اهمیت زیادی دارد؛ زیرا یک آسیب‌پذیری امنیتی ممکن است روی اطلاعات کاربران، عملکرد سایت یا اعتماد مشتریان تأثیر بگذارد.
بااین‌حال، نباید این قابلیت را با یک راهکار کامل امنیتی اشتباه گرفت. این سیستم احتمال رسیدن بعضی نسخه‌های پرخطر از مسیر رسمی را کاهش می‌دهد، اما تمام خطرهای امنیتی سایت را پوشش نمی‌دهد.
آیا بررسی خودکار به معنی امنیت کامل افزونه‌های وردپرس است؟
خیر. این مهم‌ترین نکته‌ای است که باید درباره سیستم جدید وردپرس بدانید.
بررسی خودکار، یک لایه دفاعی اضافه است؛ نه تضمینی برای بی‌نقص بودن تمام افزونه‌ها.
چند محدودیت مهم وجود دارد:
- خطای تشخیص همچنان ممکن است: ابزارهای خودکار ممکن است بعضی مشکلات را اشتباه تشخیص دهند یا یک خطر واقعی را شناسایی نکنند.
- نسخه‌های نصب‌شده قبلی به‌صورت خودکار پاک‌سازی نمی‌شوند: این فرایند برای کنترل توزیع نسخه‌های جدید طراحی شده است، نه اسکن و پاک‌سازی تمام افزونه‌های موجود روی سایت شما.
- همه منابع انتشار را پوشش نمی‌دهد: افزونه‌هایی که از مسیرهای به‌روزرسانی مستقل، خارج از سامانه رسمی WordPress.org، توزیع می‌شوند لزوماً تحت پوشش این فرایند نیستند.
- سایر بخش‌های سایت همچنان مهم‌اند: قالب، هسته وردپرس، تنظیمات سرور، رمزهای عبور و نحوه مدیریت دسترسی‌ها نیز در امنیت سایت نقش دارند.
بنابراین حتی با وجود این قابلیت، به‌روزرسانی اصولی، تهیه نسخه پشتیبان و بررسی وضعیت امنیتی سایت همچنان ضروری است.
تفاوت بررسی امنیتی جدید با افزونه Plugin Check چیست؟
شاید نام افزونه Plugin Check را شنیده باشید. این ابزار نیز توسط پروژه وردپرس ارائه شده، اما کاربرد آن با بررسی خودکار انتشار نسخه‌ها تفاوت دارد.
| ویژگی | بررسی خودکار انتشار | افزونه Plugin Check |
|---|---|---|
| هدف اصلی | جلوگیری از توزیع نسخه‌های پرخطر | بررسی کیفیت و انطباق افزونه با استانداردها |
| زمان اجرا | هنگام آماده‌سازی نسخه جدید برای توزیع | با اجرای بررسی توسط کاربر یا توسعه‌دهنده |
| روش بررسی | چند مدل هوش مصنوعی به همراه Jetpack Scan | بررسی‌های ایستا و اجرایی، بسته به نوع آزمون |
| کاربرد اصلی | کنترل انتشار نسخه‌های پرخطر | کمک به توسعه و ارزیابی افزونه |
افزونه Plugin Check می‌تواند مواردی مرتبط با امنیت، عملکرد، دسترس‌پذیری و رعایت استانداردهای مخزن را بررسی کند. این ابزار از طریق پیشخوان وردپرس یا WP-CLI قابل استفاده است و جایگزین بررسی انسانی نیست.
اگر توسعه‌دهنده افزونه وردپرس هستید، استفاده از Plugin Check در کنار آزمون‌های امنیتی و بررسی کدها می‌تواند به شناسایی مشکلات پیش از انتشار کمک کند.
کاربران وردپرس برای حفظ امنیت سایت چه کارهایی انجام دهند؟
با وجود سیستم جدید، بهتر است چند عادت ساده را در مدیریت سایت حفظ کنید:
- افزونه‌ها را به‌روز نگه دارید: نسخه‌های قدیمی ممکن است مشکلات امنیتی شناخته‌شده داشته باشند.
- افزونه‌های غیرضروری را حذف کنید: هر افزونه اضافه می‌تواند سطح پیچیدگی و ریسک نگهداری سایت را افزایش دهد.
- از منابع معتبر افزونه دریافت کنید: تا حد امکان از مخزن رسمی وردپرس یا توسعه‌دهندگان معتبر خرید کنید.
- نسخه پشتیبان منظم بگیرید: پیش از به‌روزرسانی‌های مهم، از فایل‌ها و پایگاه داده نسخه پشتیبان تهیه کنید.
- وضعیت امنیتی سایت را بررسی کنید: ابزارهای امنیتی معتبر می‌توانند به شناسایی بعضی مشکلات و فعالیت‌های مشکوک کمک کنند.
- قبل از به‌روزرسانی سایت‌های حساس، سازگاری را آزمایش کنید: در سایت‌های فروشگاهی یا پرترافیک، تست در محیط آزمایشی می‌تواند از بروز اختلال جلوگیری کند.
برای آشنایی بیشتر با مدیریت سایت، می‌توانید از مطالب آموزش وردپرس در لامرد وب استفاده کنید و برای انتخاب افزونه‌های مناسب، راهنماهای مربوط به قالب وردپرس را هم ببینید.
جمع‌بندی؛ آیا سیستم جدید امنیت افزونه‌های وردپرس را بهتر می‌کند؟
بررسی خودکار امنیت افزونه‌ها یکی از اقدامات مهم وردپرس برای کاهش احتمال انتشار نسخه‌های پرخطر است. در این فرایند، تغییرات نسخه‌های جدید با کمک چند مدل هوش مصنوعی و Jetpack Scan بررسی می‌شوند و نسخه‌هایی که ریسک بالایی داشته باشند، پیش از توزیع از مسیر رسمی به‌روزرسانی متوقف می‌شوند.
این سیستم می‌تواند احتمال گسترش بعضی تهدیدهای امنیتی را کاهش دهد، اما به معنی حذف کامل آسیب‌پذیری‌ها یا تضمین امنیت همه افزونه‌ها نیست.
اگر مدیر یک سایت وردپرسی هستید، همچنان باید افزونه‌ها و قالب‌های خود را از منابع معتبر تهیه کنید، به‌روزرسانی‌ها را اصولی انجام دهید و از اطلاعات سایت نسخه پشتیبان داشته باشید. در نهایت، امنیت سایت نتیجه مجموعه‌ای از اقدامات درست است؛ نه فقط یک ابزار بررسی خودکار.
