İstismar olunan WordPress qüsurunun həlli yeniləmə zamanı bəzi saytları qısa müddətə riskə aça bilər

Onu aşkar etmiş Picus Security tədqiqatçısı Umut Bayramın sözlərinə görə, aktiv istismar olunan bir qüsurun həllini quraşdırarkən bəzi WordPress saytlarına hələ də hücum etmək mümkündür. Həlli quraşdıran yeniləmə hələ də saytın köhnə, yamaqlanmamış kodundan istifadə edərək faylları açır, buna görə də düzgün anda hücum edən şəxs serverdə kod işlədə bilər. Qüsur CVE-2026-119977 kimi qeydə alınır və WordPress 4.7-dən 7.1.3-ə qədərki versiyalara təsir edir.

Yeniləmə pəncərəsinin əhəmiyyəti

WordPress həlli ötən həftə 7.1.4 versiyasında və 4.7 də daxil olmaqla köhnə qollar üçün uyğun yeniləmələrdə buraxdı. CISA bu qüsuru bu həftə əvvəl istismarı məlum olan zəifliklər kataloquna əlavə etdi. Tam paket əsas yeniləməsi zamanı WordPress yeni versiyanın surətini, quraşdırıcını da daxil olmaqla, wp-content/upgrade daxilindəki müvəqqəti qovluğa açır və veb-server adətən ona çata bilir. Hesabı olmayan və qovluq adını müəyyən edib silinmədən əvvəl quraşdırıcıya çata bilən hücumçu kod işlədə bilər. Həll qovluq adını təsadüfi edir, amma onu quraşdıran yeniləmə köhnə kodu istifadə edir. 5.9 və ya daha yeni versiyalarda həmin köhnə kod qovluğa endirilmiş faylın adını verir, buna görə ad sonuncu dəfə proqnozlaşdırıla bilər. Həlldən əvvəl hücumçu quraşdırıcı vasitəsilə müvəqqəti surətə yeni konfiqurasiya faylı olan wp-config.php yaza bilirdi və yeniləmə sonra həmin faylı saytın əsl faylının üzərinə yazırdı; bunun qarşısını alan həll hissəsi isə onu quraşdıran yeniləmə zamanı artıq işləyir, çünki WordPress faylları yeni kodla yerinə köçürür. Bu aralıqda hücumçu müvəqqəti surəti öz verilənlər bazası ilə qura bilər, daxil ola bilər və silinmədən əvvəl veb-serverin icazələri ilə PHP işlədə bilər, sonra isə canlı sayt fayllarını oxuya və ya yaza bilər.

Kim məruz qalır

Hər yeniləmə quraşdırıcını açıq qoymur. Tam paketlər onu həmişə daxil edir; qismən paket saytı yalnız quraşdırıcı fayllarını daxil edirsə məruz qoyur. Avtomatik yeniləmələr eyni yeniləyicidən istifadə edir. The Hacker News WordPress.org-un yeniləmə xidmətini yoxladı: bir qol daxilində, məsələn 7.1.3-dən 7.1.4-ə, qismən paket təklif etdi, köhnə qoldan isə, məsələn 7.0.7-dən 7.1.4-ə, yalnız tam paketlər təklif etdi. 4.4-dən 5.8-ə qədərki versiyalarda köhnə kod qovluq adını gizlədən təsadüfi simvollar əlavə edir, əgər sızdırılmasa. 7.1.4 və ya qol düzəlişi quraşdırıldıqdan sonra sonrakı yeniləmələr təsadüfi ad istifadə edir və müvəqqəti surətdəki wp-config.php heç vaxt əsl faylın üzərinə yazılmır. Bayram dedi ki, qismən məruz qalma konkret paketin nəyi ehtiva etdiyindən asılıdır və yoxlama cəmləri uyğun gəlmədikdə və ya yenidən quraşdırma zamanı sayt tam paketə qayıdır. Həlledici amil quraşdırılmış yeniləyicinin artıq həll olunub-olunmamasıdır.

Administratorlar nə etməlidir

Bayram yeniləmədən əvvəl wp-content/upgrade ünvanına veb girişini bloklamağı tövsiyə edir. WordPress bu qovluğu birbaşa diskdə istifadə edir, buna görə veb girişini bloklamaq yeniləmələri pozmur. Nginx-də location ^~ /wp-content/upgrade/ { deny all; } əlavə edin. Apache-də kataloq blokunda Require all denied əlavə edin. .htaccess faylında yenidən yazma qaydalarından əvvəl RedirectMatch 403 ^/wp-content/upgrade/ əlavə edin, amma .htaccess faylını qovluğun içərisinə qoymayın, çünki köhnə yeniləyici onu silir. Sorğunun 403 qaytardığını təsdiqləyin. 7.1.4-ə və ya qol üçün həll edilmiş buraxılışa yeniləyin. Veb kökündən kənarda əl ilə yeniləmə başqa təhlükəsiz yoldur. WP-CLI wp core update əvəzedici deyil. WordPress 4.6 və daha köhnə versiyalar təhlükəsizlik yeniləməsi almır və qüsur 2008-ci ildə buraxılmış 2.7-yə qədər uzanır.

İstismar və yoxlamalar

CISA kataloqa əlavəsini aktiv istismar sübutuna əsaslandırdı, amma hücumları təsvir etmədi. CVE identifikatorunu təyin edən WordPress təhlükəsizlik şirkəti Wordfence, buraxılış günündə firewall qaydasını yerləşdirdikdən doqquz dəqiqə sonra cəhdlərin başladığını gördü; iki ən aktiv mənbə kiçik sayt qruplarını təxminən 14,5 saat yoxladı və şirkətə görə bu, saytın yeniləndiyi anı tutmaq cəhdləri ilə üst-üstə düşür. CVE qeydindəki balı CVSS şkalası üzrə 10 üzərindən 8,1-dir, halbuki WordPress qüsuru aşağı qiymətləndirir. Müəlliflərinin istismar kimi təsvir etdiyi kod ictimai GitHub repozitoriyalarında ortaya çıxdı və onlardan biri kodunun tam paket yeniləmələrində hələ də proqnozlaşdırıla bilən qovluq istifadə edən saytlarda da işlədiyini deyir; kodun işlədiyi isə müəyyən edilməyib. wp-content/upgrade altında gözlənilməz PHP sorğularını, heç kimin tanımadığı admin hesablarını, heç kimin quraşdırmadığı plaginləri və oraya heç kimin qoymadığı PHP fayllarını yoxlayın.

Mənbələr: The Hacker News