استعادة موقع ووردبريس مخترق: قائمة تحقّق عملية للتعامل مع الحوادث

احتوِ الحادثة قبل التنظيف

قد تشير عمليات إعادة التوجيه غير المتوقّعة، أو حسابات المسؤولين غير المعروفة، أو نتائج البحث التي تحتوي على رسائل مزعجة، إلى وقوع اختراق. ولا يستبعد فحصٌ نظيف من إحدى الإضافات هذا الاحتمال. وبالمثل، لا يثبت عَرَض واحد وجود باب خلفي بعينه أو أسلوب هجوم محدد. تحقّق مما يقدّمه الخادم فعليًا لجلسات وأجهزة مختلفة.

احمِ الزوّار أولًا. قيّد الوصول أو عطّل الوظائف المتأثرة مؤقتًا إذا كان من الممكن تقديم محتوى ضار أو اعتراض المدفوعات. ليس من الحكمة الوعد بعدم التوقّف إطلاقًا حين يعرّض إبقاء خدمة مخترقة على الإنترنت مزيدًا من الناس للخطر.

احفظ الأدلة وحدّد نطاق الاختراق

1. احتفظ في مكان مقيّد الوصول بنسخة مؤرّخة من الملفات وقاعدة البيانات وسجلات الوصول والأخطاء والمصادقة المتاحة. سجّل المنطقة الزمنية الحالية والتغييرات التي تجريها.
2. أحصِ النطاقات وحسابات الاستضافة وتثبيتات ووردبريس والمسؤولين والإضافات وبيانات اعتماد النشر التي تتشارك الوصول.
3. ابحث عن تغييرات غير متوقّعة في ملفات النواة، والإضافات الإلزامية (must-use)، والملفات المرفوعة، والمهام المجدولة، وإعدادات الخادم، وخيارات قاعدة البيانات.
4. حدّد أقدم نشاط مريب معروف قبل اختيار نسخة احتياطية؛ فقد تحتوي نسخة حديثة على الاختراق بالفعل.

افحص سلامة الملفات من بيئة موثوقة

يمكن لمجاميع التحقّق في WP-CLI أن تكشف الاختلافات عن الحزم الرسمية. استخدم أدوات موثوقة على نسخة من الموقع أو في بيئة خاضعة للرقابة. فبعض الأوامر قد تحمّل شيفرة الموقع، والتثبيت المخترق ليس بيئة تنفيذ جديرة بالثقة.

wp core verify-checksums --include-root
wp plugin verify-checksums --all --strict

لا تثبت هذه الفحوصات أن الموقع بأكمله نظيف. فقد لا تتوفّر مجاميع تحقّق عامة للإضافات المخصّصة والتجارية. كما تتطلّب الحمولات الخبيثة في قاعدة البيانات، والاستمرار على مستوى الخادم، وبيانات الاعتماد المسروقة تحقيقًا منفصلًا. وقد يكون أي اختلاف أيضًا تعديلًا مشروعًا يحتاج إلى مراجعة.

أعد البناء وأغلق نقطة الدخول

استبدل المكوّنات المخترقة بإصدارات موثوقة وراجع الشيفرة المخصّصة. أصلح نقطة الدخول الضعيفة أو أزلها؛ فحذف الملف المحقون وحده يترك السبب قائمًا. افحص المهام المجدولة وحسابات المسؤولين ومحتوى قاعدة البيانات والملفات المرفوعة والمواقع المجاورة قبل إعادة ربط الخدمات.

بعد الاحتواء، غيّر بيانات اعتماد الاستضافة والنشر وقاعدة البيانات والتطبيق المكشوفة، وألغِ الجلسات، وجدّد مفاتيح الأمان (Salts) في ووردبريس حسب الحاجة. طبّق مبدأ الحدّ الأدنى من الصلاحيات والمصادقة متعددة العوامل. وقيّد الشيفرة القابلة للتنفيذ في مجلد الملفات المرفوعة بإعدادات تناسب خادم الويب لديك.

تحقّق من الاستعادة قبل إعادة الفتح

• اختبر الصفحات والنماذج وتسجيل الدخول ومسارات الشراء من جلسات نظيفة.
• ابحث عن طلبات صادرة غير متوقّعة، وملفات معدّلة، ومهام مجدولة تعاود الظهور.
• تأكّد من أن النسخة الاحتياطية يمكن استعادتها فعلًا في بيئة معزولة.
• راجع مشكلات الأمان في Search Console، ولا تطلب المراجعة إلا بعد معالجة المشكلة المُبلغ عنها. أما توقيت المراجعة فيتحكّم فيه المزوّد.

واصل المراقبة بعد إعادة الفتح. احتفظ بسجل موجز للحادثة يتضمّن: النطاق، ونقطة الدخول المرجّحة، والأدلة، والتغييرات، والأسئلة التي لم تُحسم، والمسؤولين عن المتابعة. تجنّب نشر بيانات العملاء أو سجلات حساسة خام في تحليل علني لما بعد الحادثة.

المصادر وقراءات إضافية

• ووردبريس: تعزيز أمان ووردبريس
• WP-CLI: التحقّق من مجاميع ملفات النواة
• Google: تقرير مشكلات الأمان

تابع القراءة

للحصول على مساعدة مباشرة، اطّلع على استعادة ووردبريس من البرمجيات الخبيثة. وبعد الاستعادة، تحقّق من قابلية الزحف وطريقة الظهور في البحث.