أفادت تقارير تقنية أمنية، بأن ثغرة خطيرة في إضافة شهيرة تُستخدم ضمن منصة WordPress، تُعرض أكثر من 160 ألف موقع لخطر الاستيلاء الكامل من قبل مهاجمين إلكترونيين.
وأوضحت التقارير أن الثغرة ظهرت في إضافة "Post SMTP"، وهي أداة تُستخدم لاستبدال وظيفة البريد الإلكتروني الافتراضية في WordPress بنظام إرسال يعتمد على بروتوكول SMTP الموثوق.
وقدّرت أن عدد المواقع النشطة التي تستخدم هذه الإضافة بأكثر من 400 ألف موقع. بينما بيّنت أن الخلل يكمن في آلية التحقق ضمن واجهة REST API الخاصة بالإضافة.
واستطردت: "كانت تكتفي (الإضافة) بالتأكد من كون المستخدم مسجلاً الدخول دون التحقق من صلاحياته الفعلية".
هذا الخلل أتاح لمستخدمين محدودي الصلاحية الوصول إلى محتوى سجلات البريد الإلكتروني، بما في ذلك الرسائل التي تحتوي على روابط إعادة تعيين كلمات المرور لحسابات المسؤولين.
نوهت التقارير الأمنية: "الأمر الذي يعني أن أي مستخدم بسيط كان بإمكانه إعادة تعيين كلمة مرور مدير الموقع وقراءة الرسالة المتعلقة بذلك، ما يتيح له التحكم الكامل بالموقع".
واكتشفت الثغرة يوم 23 أيار/ مايو 2025، وسُجلت رسميًا بعد ثلاثة أيام تحت اسم CVE-2025-24000 مع تصنيف بدرجة خطورة متوسطة تبلغ 8.8 من 10.
ورغم أن النسخة الآمنة من الإضافة (3.3.0) تم إصدارها في 11 حزيران/ يونيو 2025، فإن الإحصاءات تشير إلى أن حوالي 40.2٪ من المستخدمين لا يزالون يعتمدون على نسخ قديمة غير محدثة، ما يعادل تقريبًا 160 ألف موقع معرض للاختراق.
وتبقى الإضافات الخارجية، مثل Post SMTP، على منصة "وورد برس" التي تُعتبر آمنة نسبيًا، الحلقة الأضعف في منظومة الحماية، الأمر الذي يجعلها هدفًا مغريًا للقراصنة الإلكترونيين.
ولهذا السبب، ينصح خبراء أمن المعلومات بإزالة الإضافات غير المستخدمة والحرص على تحديث جميع الإضافات النشطة بشكل دوري.
ويُعد هذا الخلل تذكيرًا صارخًا بضرورة الصيانة الدورية والتحديثات الأمنية المستمرة لضمان سلامة البنية التحتية الرقمية للمؤسسات والأفراد على حد سواء.
