→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-108064 · wp-encryption
بازنویسی غیرمجاز کلید خصوصی گواهی SSL و اختلال در صدور گواهی در افزونه WP Encryption
افزونه WP Encryption در نسخه‌های 7.8.8.2 و پایین‌تر، روی یکی از هندلرهای فرآیند صدور گواهی SSL بررسی سطح دسترسی (capability) و nonce انجام نمی‌دهد. در نتیجه کاربر احراز هویت‌نشده می‌تواند کلید خصوصی گواهی سایت را بازنویسی کند و مواد سفارش و چالش در انتظار Let's Encrypt را جایگزین نماید؛ درخواست‌های تکراری نیز این مواد را پیوسته بازتولید می‌کنند و مانع تکمیل صدور گواهی توسط مدیر می‌شوند. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به این قابلیت را با فایروال وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 7.8.8.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-encryption را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.