هل إضافات WordPress آمنة؟

معظمها آمن إذا جاء من مطوّرين موثوقين وحُدّث باستمرار. الخطر يأتي من الإصدارات القديمة والإضافات المهجورة والنسخ المقرصنة. اختر إضافات حديثة التحديث ولها دعم نشط، وثبّت أقل عدد تحتاجه، واحذف ما لا تستخدمه، وطبّق التحديثات بسرعة مع وجود نسخة احتياطية. الأمان هنا يعتمد على عادات الصيانة أكثر من WordPress نفسه.

كيف أعرف أن الإضافة مهجورة؟

في صفحتها على WordPress.org ابحث عن تنبيه بأنها لم تُختبر مع آخر 3 إصدارات رئيسية من WordPress، أو تاريخ تحديث قديم جدًا، أو أسئلة دعم بلا ردود. أما الرسالة الحمراء فتعني أن الإضافة أُغلقت. أي علامة من هذه تعني أن عليك التخطيط لاستبدالها ببديل تتم صيانته قبل ظهور ثغرة جديدة.

هل أفعّل التحديث التلقائي للإضافات؟

للإضافات الصغيرة جيدة الصيانة يكون التحديث التلقائي غالبًا قرارًا جيدًا لأن الإصلاحات الأمنية تصل خلال ساعات. أما الإضافات الكبيرة مثل منشئات الصفحات وأدوات المتاجر فيفضّل كثيرون تحديثها يدويًا بعد نسخة احتياطية أو تجربتها أولًا على نسخة تجريبية. وفي كل الأحوال يجب أن يفحص أحد الموقع بعد التحديث.

هل يحتوي WordPress على التحقق بخطوتين؟

لا. نواة WordPress لا تتضمن تحققًا بخطوتين مدمجًا، لذا تحتاج إلى إضافة أمان أو إضافة 2FA موثوقة لتفعيله. والتحقق بخطوتين من أقوى وسائل حماية حسابات المدير، لأن كلمة المرور المسروقة وحدها لم تعد كافية للدخول. فعّله لكل حساب لديه صلاحيات مدير أو محرر.

هل تكفي إضافة أمان واحدة لحماية الموقع؟

إضافة الأمان تساعد في الفحص وحماية تسجيل الدخول وقواعد جدار الحماية، لكنها لا تغني عن التحديثات والنسخ الاحتياطية وحذف الإضافات الخطرة. إنها طبقة واحدة فقط. ما زلت تحتاج إلى برامج محدّثة وكلمات مرور قوية مع تحقق بخطوتين ونسخة خارج الخادم وشخص يراجع التنبيهات بانتظام.

متى أطلب مساعدة متخصصة؟

اطلب المساعدة إذا وضعت Google تحذيرًا على موقعك، أو ظهرت تحويلات أو صفحات مزعجة، أو وجدت مستخدمين مجهولين بصلاحيات مدير، أو إذا لم يكن لديك وقت للتحديثات الشهرية. وتستحق المساعدة أيضًا قبل التغييرات الكبيرة مثل تغيير القالب أو نقل الموقع. فخطة الصيانة أقل كلفة من تنظيف متكرر وعملاء ضائعين.

السرعة والأمان

ثغرات إضافات WordPress: ما الذي يجب على صاحب العمل الصغير فحصه وإصلاحه

بقلم فريق ITCM · آخر تحديث نوفمبر 2026

ثغرة الإضافة في WordPress هي خلل أمني في برنامج إضافي مثبّت على موقعك يمكن للمهاجم استغلاله لاختراق الموقع أو حقن روابط مزعجة أو سرقة بيانات النماذج أو تحويل الزوار إلى مواقع أخرى. الإضافات هي الخطر الأكبر لأن كل موقع تقريبًا يعتمد على عدد منها، وكل إضافة يكتبها مطوّر مختلف بمعايير مختلفة. فقد رصدت Patchstack نحو 11,334 ثغرة جديدة في WordPress خلال 2025، كان 91% منها في الإضافات لا في WordPress نفسه. والخبر الجيد أن معظم هذا الخطر يمكن السيطرة عليه بخطوات بسيطة ومنتظمة.

أبرز النقاط

الإضافات، لا نواة WordPress، مصدر نحو تسع من كل عشر ثغرات مُعلنة.
بحسب Patchstack، بدأ الاستغلال الواسع لأخطر الثغرات خلال نحو 5 ساعات من إعلانها في المتوسط.
الإضافات المهجورة والمقرصنة (Nulled) هي الأعلى خطرًا في مواقع الأعمال الصغيرة.
عدد أقل من الإضافات الجيدة أفضل من قائمة طويلة لكل وظيفة صغيرة.
خذ نسخة احتياطية قبل كل تحديث، وافحص الموقع بعده مباشرة.
لمواقع الخدمات البسيطة، الموقع المبرمج خصيصًا يلغي طبقة الإضافات كلها.

لماذا تُعد الإضافات أكبر خطر أمني في WordPress؟

نواة WordPress يديرها فريق كبير وتُصلح أخطاؤها بسرعة. ففي تقرير Patchstack عن حالة أمان WordPress لعام 2026 لم تُسجَّل في النواة سوى 6 ثغرات خلال 2025، وكلها منخفضة الأولوية، مقابل أكثر من 11 ألف ثغرة إجمالًا، نحو 91% منها في الإضافات و9% في القوالب.

كل إضافة هي شيفرة إضافية تعمل بصلاحيات تصل إلى قاعدة البيانات ولوحة التحكم. نموذج الحجز وشريط الصور ومنشئ الصفحات وأداة SEO قد تأتي من أربع شركات مختلفة، وخطأ واحد في أي منها يكشف الموقع كله. لذلك فإن عدد الإضافات وجودتها أهم من رقم إصدار WordPress وحده.

ما مدى سرعة استغلال المهاجمين لثغرة جديدة؟

سريعة جدًا. تقول Patchstack إن متوسط الوقت حتى الاستغلال الواسع لأكثر الثغرات استهدافًا في 2025 كان نحو 5 ساعات، وإن قرابة نصف الثغرات عالية الأثر استُغلّت خلال 24 ساعة. الهجمات تنفّذها برامج آلية تمسح ملايين المواقع، لا شخص اختار نشاطك تحديدًا.

ووجدت Patchstack أيضًا أن 46% من الثغرات لم يكن لها إصلاح من المطوّر عند إعلانها. في هذه الحالة لا يكفي التحديث، بل يجب تعطيل الإضافة أو استبدالها أو استخدام جدار حماية يمنع الهجوم حتى يصدر الإصلاح.

الموقع الصغير ليس صغيرًا على المهاجمين؛ البرامج الآلية لا تسأل عن حجم أعمالك.
عطلة نهاية أسبوع بلا تحديثات قد تكفي لاستغلال ثغرة معروفة.
الثغرة غير المُصلحة تحتاج قرارًا: حذف أو استبدال أو حماية مؤقتة.

ما الإضافات المهجورة والمقرصنة، ولماذا يجب تجنّبها؟

الإضافة المهجورة هي التي توقّف مطوّرها عن صيانتها. يعرض موقع WordPress.org تنبيهًا عندما لا تُختبر الإضافة مع آخر 3 إصدارات رئيسية من WordPress، وتظهر رسالة حمراء على الإضافات المغلقة. وإذا اكتُشفت فيها ثغرة لاحقًا فلن يصلحها أحد.

أما الإضافة المقرصنة (Nulled) فهي نسخة مسروقة من إضافة مدفوعة تُوزَّع مجانًا بعد إزالة فحص الترخيص. وقد حلّلت Imunify360 نسخة مقرصنة من Elementor Pro تزوّر الترخيص وتحوّل طلبات القوالب إلى خادم طرف ثالث وتعطّل التحقق من SSL، أي أن مشغّل ذلك الخادم يستطيع تغيير ما يحمّله موقعك في أي وقت. التوفير هنا وهمي، والثمن قد يكون موقعك كله.

نوع الإضافة	مستوى الخطر	الإجراء
إضافة شائعة حُدّثت خلال الأشهر الأخيرة	منخفض نسبيًا	حدّثها باستمرار وراجعها سنويًا
إضافة مدفوعة مشتراة من المطوّر	متوسط	جدّد الترخيص لتصلك التحديثات
لم تُختبر مع آخر 3 إصدارات من WordPress	مرتفع	ابحث عن بديل تتم صيانته
مغلقة أو محذوفة من WordPress.org	مرتفع جدًا	احذفها فورًا
مقرصنة أو من موقع غير رسمي	حرج	احذفها وافحص الموقع وغيّر كلمات المرور

كيف أعرف إن كانت إضافات موقعي مصابة بثغرات؟

لا تحتاج إلى خبرة تقنية لإجراء فحص أساسي. ابدأ من لوحة تحكم WordPress وراجع هذه النقاط مرة كل شهر.

افتح صفحة الإضافات ولاحظ ما يحتاج إلى تحديث؛ الإصدارات القديمة هي المشكلة الأكثر شيوعًا.
ابحث عن كل إضافة في WordPress.org وتحقق من تاريخ آخر تحديث وتنبيه التوافق.
استخدم إضافة أمان موثوقة أو أداة الفحص لدى شركة الاستضافة لمقارنة إصداراتك بقواعد بيانات الثغرات.
راجع صفحة Site Health من قائمة الأدوات لرصد الإضافات والقوالب القديمة أو غير المفعّلة.
جرّب أداة فحص SSL وترويسات الأمان المجانية للتأكد من HTTPS والحمايات الأساسية.
انتبه إلى علامات اختراق الموقع مثل التحويلات الغريبة أو ظهور مستخدمين جدد بصلاحيات مدير.

كيف أحدّث إضافات WordPress بأمان؟

التحديثات تسدّ الثغرات لكنها قد تكسر أحيانًا تصميم صفحة أو نموذج تواصل. روتين بسيط يقلل الخطرين معًا.

خذ نسخة احتياطية كاملة من الملفات وقاعدة البيانات واحفظها خارج الخادم.
حدّث إضافة واحدة في كل مرة قدر الإمكان، وابدأ بالتحديثات الأمنية.
بعد كل تحديث افحص الصفحة الرئيسية ونموذج التواصل ونظام الحجز أو الدفع.
استخدم نسخة تجريبية (Staging) للتحديثات الكبيرة مثل منشئات الصفحات وWooCommerce.
فعّل التحديث التلقائي للإضافات الصغيرة الموثوقة.

كم عدد الإضافات الذي يُعد كثيرًا؟

لا يوجد رقم سحري. موقع فيه 10 إضافات جيدة الصيانة قد يكون أكثر أمانًا من موقع فيه 5 إضافات مهجورة. المهم هو حجم الشيفرة الخارجية وجودة صيانتها. ومع ذلك فإن كل إضافة تضيف عبء تحديث واحتمال تعارض وبطء، لذلك فالأقل أفضل غالبًا.

قاعدة عملية: إذا لم تستطع أن تشرح في جملة واحدة سبب وجود الإضافة، فالأرجح أن مكانها الحذف. واحذف الإضافات المعطّلة أيضًا، لأن ملفاتها تبقى على الخادم وقد تحتوي شيفرة مصابة. وقلة الإضافات تساعد كذلك على تسريع موقعك.

ماذا أفعل إذا استُغلّت ثغرة في إحدى إضافاتي؟

تصرّف بسرعة وهدوء. الهدف إيقاف الضرر وتنظيف الموقع وإغلاق الباب الذي دخل منه المهاجم.

فعّل وضع الصيانة أو اطلب من شركة الاستضافة عزل الموقع.
غيّر كل كلمات المرور: حسابات المدير ولوحة الاستضافة وقاعدة البيانات وFTP والبريد.
حدّث الإضافة المصابة أو احذفها، واحذف أي حسابات مدير مجهولة.
استرجع نسخة احتياطية نظيفة من قبل الإصابة أو اطلب تنظيفًا احترافيًا للملفات.
اتبع الخطوات الكاملة في دليل استعادة الموقع المخترق.

هل الموقع المبرمج خصيصًا أكثر أمانًا من WordPress مع الإضافات؟

لكثير من أنشطة الخدمات الصغيرة، نعم. السبّاك أو صالون التجميل أو عيادة الأسنان يحتاج غالبًا إلى صفحات ونموذج تواصل أو حجز وتقييمات وطريقة سهلة لتعديل المحتوى. الموقع المبرمج خصيصًا يقدّم ذلك كله دون إضافات خارجية، فلا توجد قائمة تحديثات للإضافات ولا سوق إضافات يدرسه المهاجمون.

يبقى WordPress خيارًا مناسبًا عند الحاجة إلى محتوى ضخم أو محررين كثيرين أو منظومة إضافات بعينها. المقارنة الكاملة في دليل WordPress أم موقع مخصص. وفي الحالتين يحتاج الموقع إلى حماية على مستوى الخادم ونسخ احتياطية وشخص مسؤول عن الصيانة.

كيف تتعامل ITCM مع خطر الإضافات

عملت ITCM على تنظيف مواقع WordPress مخترقة وتقويتها، بإزالة الشيفرات الخبيثة وتقليص الإضافات غير الضرورية وتحسين السرعة والأمان، كما في دراسة حالة استعادة موقع WordPress. أما في المشاريع الجديدة فتبني ITCM مواقع مبرمجة خصيصًا بلا تكدّس إضافات.

وطريقة العمل تبدأ بالنموذج الجاهز: نبني موقعك وتطبيقك القابل للتثبيت قبل أن تدفع، تراه مكتملًا، ثم تدفع 150 دولارًا مرة واحدة فقط إذا أعجبك. ويضم ذلك الموقع والتطبيق (PWA) والحجز عبر الإنترنت على مدار الساعة وإدارة العملاء المحتملين ولوحة التحكم و3 خيارات تصميم. وأي إضافة أخرى تحصل على عرض سعر ثابت قبل بدء العمل، مع خطة رعاية اختيارية تبدأ من 100 دولار شهريًا.

قائمة فحص شهرية لأمان الإضافات

نسخة احتياطية للملفات وقاعدة البيانات محفوظة خارج الخادم.
تطبيق تحديثات الإضافات والقوالب والنواة ثم اختبار الصفحات والنماذج.
حذف الإضافات المعطّلة والقوالب غير المستخدمة.
استبدال أي إضافة لم تُختبر مع آخر 3 إصدارات من WordPress.
التأكد من عدم وجود أي إضافة مقرصنة أو من مصدر غير رسمي.
مراجعة حسابات المديرين وتفعيل التحقق بخطوتين عبر إضافة موثوقة.

الأسئلة الشائعة

هل إضافات WordPress آمنة؟: معظمها آمن إذا جاء من مطوّرين موثوقين وحُدّث باستمرار. الخطر يأتي من الإصدارات القديمة والإضافات المهجورة والنسخ المقرصنة. اختر إضافات حديثة التحديث ولها دعم نشط، وثبّت أقل عدد تحتاجه، واحذف ما لا تستخدمه، وطبّق التحديثات بسرعة مع وجود نسخة احتياطية. الأمان هنا يعتمد على عادات الصيانة أكثر من WordPress نفسه.
كيف أعرف أن الإضافة مهجورة؟: في صفحتها على WordPress.org ابحث عن تنبيه بأنها لم تُختبر مع آخر 3 إصدارات رئيسية من WordPress، أو تاريخ تحديث قديم جدًا، أو أسئلة دعم بلا ردود. أما الرسالة الحمراء فتعني أن الإضافة أُغلقت. أي علامة من هذه تعني أن عليك التخطيط لاستبدالها ببديل تتم صيانته قبل ظهور ثغرة جديدة.
ما الإضافة المقرصنة (Nulled)؟: هي نسخة مسروقة من إضافة مدفوعة أُزيل منها فحص الترخيص، وتُنشر عادة في مواقع تحميل غير رسمية. كثيرًا ما تحمل شيفرة مخفية مثل الأبواب الخلفية أو الروابط المزعجة أو التحويلات، ولا تصلها تحديثات أمنية رسمية. وإذا وجدت واحدة في موقعك فاحذفها وافحص الموقع بحثًا عن برمجيات خبيثة وغيّر كلمات المرور.
هل أفعّل التحديث التلقائي للإضافات؟: للإضافات الصغيرة جيدة الصيانة يكون التحديث التلقائي غالبًا قرارًا جيدًا لأن الإصلاحات الأمنية تصل خلال ساعات. أما الإضافات الكبيرة مثل منشئات الصفحات وأدوات المتاجر فيفضّل كثيرون تحديثها يدويًا بعد نسخة احتياطية أو تجربتها أولًا على نسخة تجريبية. وفي كل الأحوال يجب أن يفحص أحد الموقع بعد التحديث.
هل يحتوي WordPress على التحقق بخطوتين؟: لا. نواة WordPress لا تتضمن تحققًا بخطوتين مدمجًا، لذا تحتاج إلى إضافة أمان أو إضافة 2FA موثوقة لتفعيله. والتحقق بخطوتين من أقوى وسائل حماية حسابات المدير، لأن كلمة المرور المسروقة وحدها لم تعد كافية للدخول. فعّله لكل حساب لديه صلاحيات مدير أو محرر.
هل تكفي إضافة أمان واحدة لحماية الموقع؟: إضافة الأمان تساعد في الفحص وحماية تسجيل الدخول وقواعد جدار الحماية، لكنها لا تغني عن التحديثات والنسخ الاحتياطية وحذف الإضافات الخطرة. إنها طبقة واحدة فقط. ما زلت تحتاج إلى برامج محدّثة وكلمات مرور قوية مع تحقق بخطوتين ونسخة خارج الخادم وشخص يراجع التنبيهات بانتظام.
متى أطلب مساعدة متخصصة؟: اطلب المساعدة إذا وضعت Google تحذيرًا على موقعك، أو ظهرت تحويلات أو صفحات مزعجة، أو وجدت مستخدمين مجهولين بصلاحيات مدير، أو إذا لم يكن لديك وقت للتحديثات الشهرية. وتستحق المساعدة أيضًا قبل التغييرات الكبيرة مثل تغيير القالب أو نقل الموقع. فخطة الصيانة أقل كلفة من تنظيف متكرر وعملاء ضائعين.

مقالات وخدمات ذات صلة

موقع إلكتروني وتطبيق جوال لنشاطك — نبنيهما مجانًا

نبني موقعك الإلكتروني وتطبيقك أولًا، وتراهما جاهزين بالكامل. إن أعجبك العمل تدفع 150 دولارًا مرة واحدة فقط، وإن لم يعجبك فلا تدفع شيئًا.

اطّلع على العرض تدقيق مجاني لموقعك

→ جميع المقالات