أمان WordPress مهم!
🇺🇸 A massive supply chain attack just hit over 1.2 million WordPress websites, and the lessons are loud and clear: even deactivated plugins can leave you wide open. If you run a site (or host them for clients), this is your wake-up call to tighten up security before the next breach.
🔥 The attack targeted three popular marketing plugins — OptinMonster, TrustPulse, and PushEngage. Hackers didn’t hit the plugins directly. They compromised external scripts these plugins loaded. When an admin logged in, the malicious code got full administrator access.
🛡️ Attackers weren’t just messing around — they installed hidden backdoors for long-term control:
- حسابات إدارية خادعة (مثل Developer_api1 أو wpsecurebot)
- البرامج الضارة المخفية من لوحة القيادة
- البريد العشوائي لتحسين محركات البحث، وتحديثات المتصفح المزيفة، وحتى عمال مناجم العملات المشفرة
الوجبات الجاهزة الرئيسية: حذف المكون الإضافي أو إلغاء تنشيطه ليس كافيًا. إذا تم تثبيته، قم بإجراء فحص شامل.
كيفية فحص وتنظيف موقع ووردبريس الخاص بك
- مراجعة حسابات المسؤول - لا تثق فقط في صفحة المستخدمين. تحقق من جدول قاعدة بيانات wp_users (أو استخدم WP-CLI) بحثًا عن مسؤولين غير معروفين.
- فحص مجلدات المكونات الإضافية - ابحث في wp-content/plugins/ وwp-content/mu-plugins/ عن أي شيء مريب.
- تغيير كل شيء - إعادة تعيين جميع كلمات مرور المسؤول، وتجديد الأملاح، وتحديث كلمات مرور قاعدة البيانات، وتدوير مفاتيح واجهة برمجة التطبيقات.
ممارسات الأمان الذكية تمضي قدمًا
- احذف المكونات الإضافية والموضوعات غير المستخدمة تمامًا — معطل ≠ آمن.
- استخدم مكونًا إضافيًا قويًا لسجل الأنشطة (مثل WP Activity Log) لمراقبة التغييرات.
- أضف المصادقة الثنائية والحماية من القوة الغاشمة.
- حافظ على تحديث كل شيء وقم بإجراء عمليات فحص منتظمة للبرامج الضارة.
🇺🇸 America-first take: In a digital world full of threats, real security comes from ownership and vigilance — not trusting third-party scripts or “set it and forget it” plugins. Self-hosted WordPress on reliable hosting (with server-level protections) gives you the control you need to protect your business and data.
يضيف موفرو الاستضافة مثل HostRite طبقات إضافية (عزل مضيف السجن، والنسخ الاحتياطي اليومي، والحظر على مستوى الخادم) ولكن لا يزال يتعين على مالك الموقع القيام بدوره.
ما رأيكم؟ هل تعرضت لأمر كهذا، أو حصلت على نصائح أمنية قوية لمستخدمي WordPress؟ شارك أدناه!
