---
title: "ثغرة load-scripts.php في ووردبريس (CVE-2018-6389): ما هي وكيف تحمي موقعك منها"
description: "آخر تحديث: 21 أكتوبر 2026 **باختصار**ملف load-scripts.php في ووردبريس يجمع ملفات الجافاسكربت في طلب واحد. في 2018 كُشف أن المهاجم يستطيع أن يطلب عبره كل الملفات دفعة واحدة وبشكل متكرر، فيستهلك المعالج والذاكرة ويوقف الموقع (هجوم حجب خدمة). ووردبريس لم…"
url: "https://www.hyyat.com/knowledgebase/%d8%ab%d8%ba%d8%b1%d8%a9-%d8%a3%d9%85%d9%86%d9%8a%d8%a9-%d8%aa%d8%ad%d9%85%d9%8a%d9%84-%d8%a7%d9%84%d8%a8%d8%b1%d8%a7%d9%85%d8%ac-%d8%a7%d9%84%d9%86%d8%b5%d9%8a%d8%a9-%d9%81%d9%8a-wordpress/"
updated: "2026-10-21"
category: حماية مواقع الانترنت
tags:
  - WordPress
---

# ثغرة load-scripts.php في ووردبريس (CVE-2018-6389): ما هي وكيف تحمي موقعك منها

آخر تحديث: 21 أكتوبر 2026

  **باختصار**ملف load-scripts.php في ووردبريس يجمع ملفات الجافاسكربت في طلب واحد. في 2018 كُشف أن المهاجم يستطيع أن يطلب عبره كل الملفات دفعة واحدة وبشكل متكرر، فيستهلك المعالج والذاكرة ويوقف الموقع (هجوم حجب خدمة). ووردبريس لم يغيّر هذا السلوك، فالحماية تكون من جهة السيرفر أو جدار الحماية، وهي مفعّلة على سيرفرات حياة هوست.

![طلبات كثيرة لملفات جافاسكربت تمر عبر درع حماية قبل أن تصل إلى السيرفر](https://www.hyyat.com/wp-content/uploads/2026/10/hkb-script-dos.webp)

## ما هي الثغرة؟

لتسريع لوحة التحكم، يستخدم ووردبريس ملفي `load-scripts.php` و`load-styles.php` لدمج عدة ملفات في طلب واحد. المشكلة أن هذين الملفين يعملان **بدون تسجيل دخول**، ويقبلان قائمة الملفات المطلوبة من الرابط نفسه.

في فبراير 2018 نشر الباحث باراك طولي أن طلباً واحداً يمكن أن يطلب عشرات الملفات دفعة واحدة، وأن تكرار هذا الطلب بسرعة يرفع استهلاك المعالج والذاكرة إلى الحد الأقصى. وسُجلت الثغرة برقم **CVE-2018-6389**.

## لماذا هي خطيرة؟

  *1***لا تحتاج أدوات معقدة**أداة بسيطة على جهاز واحد تكفي لإرسال طلبات كثيرة. *2***تستهلك الموارد بسرعة**كل طلب يجبر السيرفر على قراءة ودمج عشرات الملفات. *3***تؤثر على الجيران**على السيرفرات غير المعزولة، توقف المواقع الأخرى أيضاً.

## لماذا لم يصلحها ووردبريس؟

فريق ووردبريس اعتبر أن هجمات حجب الخدمة تُعالج على مستوى السيرفر والشبكة لا داخل التطبيق، فلم يصدر تعديلاً يمنعها. لذلك الحل الصحيح يكون في الاستضافة أو جدار الحماية، لا في ملفات ووردبريس.

## كيف تحمي موقعك؟

1. **على استضافة حياة هوست:** الحماية مفعّلة. السيرفر يميّز إن كان الطلب من مستخدم مسجّل دخوله في ووردبريس، فيسمح به، ويمنع الطلبات المشبوهة المتكررة.
2. **إذا كان لديك سيرفر خاص:** أضف قاعدة في جدار حماية الويب تمنع الطلبات الطويلة لهذين الملفين من الزوار غير المسجلين، وحدد عدد الطلبات من العنوان الواحد.
3. **مع Cloudflare:** حدد معدل الطلبات لمسار `/wp-admin/load-scripts.php`، أو فعّل [وضع «أنا تحت الهجوم»](https://www.hyyat.com/knowledgebase/%d8%aa%d9%81%d8%b9%d9%8a%d9%84-%d8%ae%d8%af%d9%85%d9%87-%d9%85%d9%88%d9%82%d8%b9%d9%8a-%d8%aa%d8%ad%d8%aa-%d8%a7%d9%84%d9%87%d8%ac%d9%88%d9%85-%d9%81%d9%8a-cloudflare/) أثناء الهجوم.

 **لا تحذف الملف:** حذف load-scripts.php يعطل لوحة تحكم ووردبريس، ويعود الملف مع أول تحديث.

## كيف نحمي موقعك في حياة هوست؟

- قواعد على السيرفر تسمح بطلبات load-scripts.php للمستخدمين المسجلين فقط، وتمنع الطلبات المشبوهة.
- **Imunify360** وقواعد **ModSecurity** و**CSF** تحد من الطلبات المتكررة من العنوان نفسه.
- عزل الحسابات بـ **CloudLinux** يمنع أن يوقف هجوم على موقع آخر موقعك.

تعرّف أيضاً على [حماية حياة هوست من هجمات DoS](https://www.hyyat.com/dos-detection/).

## أسئلة شائعة

   هل موقعي معرض لهذه الثغرة الآن؟

الملف موجود في كل مواقع ووردبريس. إذا كان موقعك على استضافة حياة هوست فالحماية مفعّلة من جهة السيرفر.

   هل تسرق الثغرة بيانات موقعي؟

لا. هي ثغرة حجب خدمة: تبطئ الموقع أو توقفه، ولا تعطي المهاجم دخولاً إلى الموقع أو البيانات.

   هل إضافة حماية ووردبريس تكفي؟

لا تكفي وحدها، لأن الطلب يستهلك الموارد قبل أن تعمل الإضافة. الحماية الفعالة تكون على السيرفر أو الشبكة.

   **شروحات ذات صلة**

- [ما هو هجوم Slowloris DDoS؟](https://www.hyyat.com/knowledgebase/%d9%85%d8%a7-%d9%87%d9%88-%d9%87%d8%ac%d9%88%d9%85-slowloris-ddos%d8%9f/)
- [أدوات القرصنة: C99 Shell](https://www.hyyat.com/knowledgebase/%d8%a3%d8%af%d9%88%d8%a7%d8%aa-%d8%a7%d9%84%d9%82%d8%b1%d8%b5%d9%86%d8%a9-c99-shell/)
- [كيف أحافظ على آمن موقعي على الويب ؟](https://www.hyyat.com/knowledgebase/%d9%83%d9%8a%d9%81-%d8%a3%d8%ad%d8%a7%d9%81%d8%b8-%d8%b9%d9%84%d9%89-%d8%a2%d9%85%d9%86-%d9%85%d9%88%d9%82%d8%b9%d9%8a-%d8%b9%d9%84%d9%89-%d8%a7%d9%84%d9%88%d9%8a%d8%a8-%d8%9f/)
- [شرح حماية القوة الغاشمة](https://www.hyyat.com/knowledgebase/%d8%b4%d8%b1%d8%ad-%d8%ad%d9%85%d8%a7%d9%8a%d8%a9-%d8%a7%d9%84%d9%82%d9%88%d8%a9-%d8%a7%d9%84%d8%ba%d8%a7%d8%b4%d9%85%d8%a9/)

[كل شروحات حماية المواقع ←](https://www.hyyat.com/kb/%d8%ad%d9%85%d8%a7%d9%8a%d8%a9-%d8%a7%d9%84%d9%85%d9%88%d8%a7%d9%82%d8%b9/)

  **تحتاج هذه الخدمة من حياة هوست؟**فريقنا يتولاها لك، مع دعم يرد على التذاكر خلال 24 ساعة كحد أقصى.[استضافة ووردبريس](https://www.hyyat.com/%d8%a7%d8%b3%d8%aa%d8%b6%d8%a7%d9%81%d8%a9-%d9%88%d9%88%d8%b1%d8%af%d8%a8%d8%b1%d9%8a%d8%b3/)[تصميم ووردبريس](https://www.hyyat.com/%d8%aa%d8%b5%d9%85%d9%8a%d9%85-%d9%88%d9%88%d8%b1%d8%af%d8%a8%d8%b1%d9%8a%d8%b3/)