ورقة بحثية: الموديلات كسرت ملفات PHP قديمة كانت تعمل أثناء تحديثها إلى PHP 8.3
المغزى: درجة التحديث تقيس شكل الكود الجديد لا بقاء سلوكه، وفي أغلب الملفات كان خيار عدم فعل شيء أكثر أمانًا من أي موديل.
إصلاح ثغرتي PHP يصدر بعد تأخر منذ 2024، والذكاء الاصطناعي خفّض كلفة استغلالهما
المغزى: عبارة «صعبة الاستغلال» لم تعد حماية كافية، فحين تصبح الموديلات قادرة على تكييف الهجوم على تطبيقات عدة في ساعات، يصبح التأخير في الإصلاح هو الثغرة الحقيقية.
فريق أمان PHP يحدد موعد إصدار يصلح ثغرتين بدرجة 9.2 دون الكشف عن أي تفاصيل
المغزى: كل خادم PHP لا يعرف بعد إن كان متأثرًا، وما يُقاس في يوم كهذا ليس خطورة الثغرة بل سرعة الفريق الذي يملك قرار التحديث، وعلى الاستضافة المشتركة لا يملكه صاحب الموقع أصلًا.
Automattic تعيّن مجلس إدارة جديدًا بالكامل بعد فشل محاولة المجلس السابق إقصاء Matt Mullenweg
لم يتغير المنتج ولا السعر، بل تغير عدد من يجب أن يوافقوا قبل قرار كبير. ومن يبني عمله على منصة يحتاج إلى معرفة من يستطيع تغييرها وحده.
ثغرة CSRF في إضافة Elementor تسمح بإنشاء حساب مدير على مواقع WordPress عبر رابط واحد
فحص أمني يعتمد على وجود نص معيّن داخل الرابط يسلّم القرار لمن يكتب الرابط، أي للمهاجم نفسه، والخطر الأكبر في مواقع العملاء التي لا يتابع أحد نسختها.
WordPress يسدّ ثغرة عمرها 10 سنوات، ومحاولات الاستغلال بدأت بعد أقل من 5 ساعات
الثغرة لا تستهدف مواقع بعينها بل تُصطاد بالمسح العشوائي، فالموقع المنسي والصفحة القديمة وموقع العميل المسلَّم منذ سنوات كلها في القائمة نفسها.
حل مؤقت من 174 سطر PHP كُتب عام 2014 ثُبّت 20 مليون مرة، وصاحبه يعلن إيقافه
كود لم يثبّته فريق بنفسه قد يكون موجودًا في مشروعه عبر حزمة أخرى أو إضافة قديمة، ومعه خلل بقي سنوات دون أن يلاحظه أحد.
مجلس إدارة Automattic يخرج بعد فشل محاولة إقصاء Matt Mullenweg الذي عاد خلال 33 ساعة
الجهة التي يُفترض أن تملك حق الاعتراض على المؤسس اعترضت فخرجت هي. واختيار منصة للسنوات المقبلة يصبح اختيارًا لطريقة اتخاذ القرار فيها، لا للكود وحده.
مجلس إدارة Automattic يضع Matt Mullenweg في إجازة ويعيّن المدير المالي رئيسًا تنفيذيًا بالإنابة
الشركة التي تتصدر الأخبار ليست الجهة التي تستضيف نواة WordPress وسجل إضافاته، واستقرار الأداة لا يقاس دائمًا بالشركة التي تحمل اسمها.
أكثر من 5,400 موقع مخترق توزّع برمجيات خبيثة مخزّنة على blockchain بأسلوب EtherHiding
حين يُخزَّن الكود الخبيث على سجل موزّع لا يملكه أحد، تفقد أداة الدفاع المعتادة، وهي إغلاق الخادم المستضيف، معناها بالكامل.
WordPress 7.1 يصدر مع معالجة الصور داخل المتصفح قبل رفعها إلى الخادم
أغلى جزء في رفع الصور من الهاتف على شبكة ضعيفة هو الشبكة نفسها، والإصدار الجديد يقلص ما يمر فيها ويخفف الحمل عن الاستضافة المشتركة.
هجوم سلسلة توريد على إضافات BdThemes في WordPress دون تعديل سطر من كودها
مقارنة إصدارات الإضافات بالمستودع الرسمي لم تكن لتكشف شيئًا هنا، فسطح الهجوم لا يقتصر على التحديث الذي يُقبل بل يشمل كل بيانات تجلبها الإضافة وهي تعمل.
ثغرة XSS2Shell في WordPress تصل من شاشة الدخول إلى تنفيذ كود PHP، والإصلاح في 7.0.3
الثغرة لم تنشأ من أداة تنقية فاشلة، بل من أداتين تقرآن النص نفسه بقاعدتين مختلفتين، والفرق بين القراءتين هو الثغرة.
ثغرة wp2shell في نواة WordPress تُستغل على نطاق واسع دون تسجيل دخول
الافتراض الشائع بأن اختراقات WordPress تأتي من الإضافات وحدها لم يعد صالحًا، فالتنصيب الافتراضي بلا أي إضافة كان مكشوفًا هذه المرة.