الويب

إصابة إضافة Rank Math PRO ببرمجية خبيثة تزرع أبواباً خلفية

تعرضت بعض نسخ الإضافة المدفوعة لهجوم سلاسل إمداد زرع برمجيات خبيثة، مما دفع الشركة لإصدار تحديث طارئ وإرشادات أمنية صارمة.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 20 أكتوبر 2026 · آخر تحديث: 20 أكتوبر 2026 · 4 دقائق قراءة

إصابة إضافة Rank Math PRO ببرمجية خبيثة تزرع أبواباً خلفية — الصورة: BleepingComputer

تفاصيل الاختراق ونطاق التأثير

أعلنت شركة Rank Math عن اكتشاف برمجية خبيثة في بعض التحميلات الخاصة بإصدار الإضافة المدفوعة (PRO) رقم 3.0.123. وفقاً للإعلان الرسمي، تأثر عدد محدود من المستخدمين الذين قاموا بتحميل الإضافة بين الساعة 20:02 بتوقيت UTC في 15 أكتوبر والساعة 07:12 بتوقيت UTC في 16 أكتوبر. أكدت الشركة أن الملفات المتأثرة تحتوي على كود خبيث يمكن أن يهدد أمان الموقع إذا تم تفعيل الإضافة، مشيرة إلى أنها أزالت الملفات المصابة فوراً وأصدرت نسخة نظيفة تحت مسمى Rank Math PRO v3.0.124. للإطلاع على التفاصيل التقنية الكاملة، يمكن الرجوع إلى البيان الأمني الذي نشرته الشركة عبر موقعها الرسمي في قسم Rank Math warned. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

آلية عمل البرمجية الخبيثة

كشفت التحقيقات الأولية عن أن البرمجية الخبيثة تهدف إلى إنشاء وصول دائم للمهاجمين عبر زرع أبواب خلفية مخفية في ملفات النظام. تعمل البرمجية على التواصل مع نطاق خارجي محدد باسم rank1cdn[.]com، وتقوم بإعادة إنشاء نقاط الدخول الخبيثة كلما قام زائر بالدخول إلى الموقع المصاب. كما حذرت الشركة من أن تثبيت الإصدار المصاب يعرّض بيانات اعتماد قاعدة البيانات ومفاتيح واجهات برمجة التطبيقات (API) والأسرار الأخرى المخزنة على خادم الويب للخطر، مما يوسع نطاق التهديد الأمني بشكل كبير.

تحليل العينة التقنية

أثناء بحثها في تفاصيل الهجوم، اكتشفت منصة BleepingComputer عينة برمجية خبيثة مكتوبة بلغة PHP على منصة VirusTotal، تحمل اسماً مريباً يبدو مرتبطاً بالاختراق. على الرغم من عدم ذكر هذا الملف صراحة في النشرات التحذيرية الأولى، إلا أن التحليل أظهر احتواءه على مؤشرات اختراق (IoCs) مطابقة لتلك الواردة في تنبيهات الشركة، مثل إنشاء حسابات مشرفين باستخدام بادئة اسم مستخدم محددة وعناوين بريد إلكتروني من نطاق معين. يبدو أن هذا السكربت يعمل كمرحلة أولى لنشر البرمجية الخبيثة التي تنشئ ملفات خلفية في مجلدات النظام، مع إمكانية تنفيذ أوامر وتعديل قواعد البيانات وسرقة بيانات اعتماد خدمات سحابية متعددة.

إجراءات التنظيف والاستجابة

توصي الشركة بإجراء خطوات تنظيف صارمة للمواقع التي تم تفعيل الإضافة المصابة خلالها. يجب على أصحاب المواقع استعادة الملفات وقاعدة البيانات من نسخة احتياطية نظيفة، وتنفيذ عمليات مسح أمنية شاملة، وتغيير جميع كلمات المرور والمفاتيح والأسرار. في حال عدم توفر نسخة احتياطية آمنة، يُنصح بالتنظيف اليدوي الذي يتطلب حذف مجلد الإضافة بالكامل ودخول قاعدة البيانات الخبيثة. من المهم ملاحظة أن تعطيل الإضافة أو تحديثها بعد الاختراق لا يزيل التهديد، بل يجب التحقق من وجود حسابات مشرفين غير مصرح بها، والمهام المجدولة، والتغييرات المحتملة خارج نطاق ووردبريس. كما يُنصح بحجب جميع الاتصالات الصادرة نحو نطاق المهاجمين.

السياق الأمني الأوسع

يأتي هذا الاختراق في سياق متزايد من هجمات سلاسل الإمداد التي تستهدف إضافات ووردبريس الشائعة. تشير التقارير الأمنية الحديثة إلى أن هجمات مماثلة استهدفت إضافات أخرى، مما يعكس استغلال المهاجمين للثقة التي يوليها المطورون النهائيون للمصادر الرسمية. على سبيل المثال، وثّقت تقارير سابقة هجمات مشابهة على إضافات إدارية أخرى أدت إلى زرع أبواب خلفية في آلاف المواقع. هذا النمط من الهجمات يؤكد الحاجة إلى اليقظة المستمرة ومراقبة التحديثات الأمنية من مصادر موثوقة.

توصيات للمستخدمين المتأثرين

يُطلب من المستخدمين الذين قاموا بتحميل الإضافة المصابة ولكن لم يقوموا بتفعيلها حذفها فوراً، وتحميل النسخة النظيفة 3.0.124، ثم إجراء مسح شامل للموقع للتأكد من عدم وجود أي آثار خبيثة. بالنسبة لأولئك الذين فعلوا الإضافة، فإن اعتبار الموقع مصاباً هو الإجراء الأمني الصحيح حتى يتم إثبات العكس. لم ترد الشركة على استفسارات حول عدد المواقع المتأثرة بدقة أو المتجهات الأولية للهجوم عند وقت نشر الخبر، مما يترك مجالاً للتحقيق المستمر من قبل خبراء الأمن السيبراني.