كارثة JobMonster : ثغرة قاتلة تسمح بخطف لوحة التحكم والمهاجمون بالفعل يقتحمون المواقع

 البداية اكتشاف حركة مظلمة خلال 24 ساعة

شهدت شركات الحماية الأمنيّة، وعلى رأسها Wordfence، موجة غريبة ومكثّفة من محاولات اقتحام مواقع WordPress التي تعتمد قالب JobMonster—القالب الأكثر استخدامًا في مواقع التوظيف والمتقدمين للوظائف حول العالم.

المفاجأة؟

المهاجمون لم يستهدفوا الشركات

ولا السير الذاتية

بل حسابات المدراء مباشرة

 ما هي الثغرة CVE-2025-5397؟

تصنيف الخطورة: حرجة – 9.8/10

نوعها: تجاوز مصادقة Authentication Bypass

الإصدارات المتأثرة: كل النسخ حتى 4.8.1

المكتشف: Wordfence

السبب: دالة check_login() لا تتحقق من هوية الشخص بشكل صحيح

 النتيجة النهائية:

أي هاكر قادر على تسجيل الدخول كمدير (Admin) بدون كلمة المرور بدون أي صلاحيات بدون أي شيء.

كيف استغل القراصنة الثغرة؟

الهجوم يعتمد على ميزة داخل القالب اسمها social login

(سجّل الدخول بجوجل – فيسبوك – لينكدإن).

JobMonster كان يثق بالبيانات القادمة من تسجيل الدخول الاجتماعي بدون فحصها.

هذا يعني:

الهاكر يرسل بيانات مزوّرة تخبر WordPress بأنه "المدير"، والموقع يصدق فورًا!

الشروط:

social login مُفعّل

معرفة اسم مستخدم أو بريد المدير (يسهل إيجاده من صفحة مؤلف المقال أو من تخمين بسيط)

بمجرد نجاح الهجوم:

✔️ دخول مباشر للوحة التحكم

✔️ إمكانية تغيير كلمة المرور

✔️ رفع شِيل – رفع ملفات خبيثة

✔️ السيطرة على الموقع بالكامل

👤 من هم الهاكرز؟

Wordfence لم تكشف الجنسية، لكنها قالت إن:

الجمعات منظمة ومنسقة

جاءت من عدة عناوين IP

لها نفس أسلوب الهجوم الذي شوهد سابقًا في مجموعات تستهدف قوالب WordPress المدفوعة

من المرجّح أن الفاعلين:

جماعات Cybercrime

مجموعات Botnet تبحث عن السيطرة على مواقع كثيرة

جهات تعتمد الاختراق بالجملة للحصول على قواعد بيانات الباحثين عن وظائف

 ماذا فعل الهاكرز بعد الدخول؟

بمجرد الاستيلاء على حساب المدير، قدرتهم تصبح مطلقة:

سرقة بيانات الشركات

سرقة معلومات الباحثين عن العمل (إيميلات – CVs – أرقام)

زرع أبواب خلفية

تحويل الموقع إلى صفحة احتيال

رفع برامج خبيثة

بيع الوصول إلى مواقع الشركات في السوق السوداء

إرسال بريد احتيالي من الموقع نفسه

الهجوم مرعب لأنه يحصل بدون أي تسجيل دخول حقيقي.

كم عدد الضحايا وأين حدثت الهجمات؟

Wordfence قالت إنها رصدت:

عشرات المواقع تم استهدافها خلال 24 ساعة فقط

أغلب المواقع المصابة من:

الولايات المتحدة

أوروبا

الشرق الأوسط

الهند

جنوب شرق آسيا

ولأن القالب لديه أكثر من 5,500 مشتري على منصة Envato، فمن المحتمل أن الميئات معرضة للخطر.

🛡️ هل تم إصلاح الثغرة؟

نعم.

تم إصلاحها في النسخة 4.8.2 من JobMonster.

إذا لم تُحدث الآن → موقعك قابل للاختراق خلال ثوانٍ.

✔️ طرق الحماية الفورية:

تحديث القالب إلى 4.8.2

إيقاف social login فورًا إذا لا تستطيع التحديث

تفعيل 2FA لحسابات المدير

تغيير كلمات مرور جميع المدراء

فحص سجلات الدخول (logs)

فحص إضافات وملفات الموقع بحثًا عن Backdoors

تشغيل Wordfence أو iThemes Security

⚠️ لماذا هذا الهجوم خطير جداً؟

لا يحتاج كلمة مرور

لا يحتاج صلاحيات

لا يترك أثر واضح

يمكن استغلاله بشكل آلي على آلاف المواقع

يستهدف مواقع لديها بيانات حساسة (سير ذاتية، عقود، شركات)