WordPress-მა კრიტიკული ხარვეზი გამოასწორა, რომელიც საიტების გატეხვის საშუალებას იძლევა

WordPress-მა პარასკევს გამოუშვა გადაუდებელი უსაფრთხოების განახლებები, რომლითაც დაიხურა კრიტიკული, ავთენტიფიკაციამდე არსებული დისტანციური კოდის შესრულების (RCE) მოწყვლადობა. ის ანონიმურ თავდამსხმელს საშუალებას აძლევს, ერთი HTTP მოთხოვნით სრული კონტროლი დაამყაროს ნებისმიერ სტანდარტულ WordPress ინსტალაციაზე.

მოწყვლადობა

2026 წლის 17 ივლისს გამოშვებული 7.0.2 და 6.9.5 ვერსიები აგვარებს ხარვეზს, რომელიც ცნობილია როგორც CVE-2026-63030 და მკვლევრების მიერ "wp2shell"-ად არის მონათლული. მოწყვლადობა აერთიანებს REST API-ის სერიული მოთხოვნის მარშრუტის აღრევას SQL ინექციასთან, რათა მიაღწიოს ავთენტიფიკაციის გარეშე RCE-ს – ვებ მოწყვლადობის ყველაზე მძიმე კლასს – რაც არ საჭიროებს შესვლას, სპეციალურ კონფიგურაციას ან დანამატებს.nebula+3

ხარვეზი ეხება WordPress-ის 6.9.0-დან 6.9.4-მდე და 7.0.0-დან 7.0.1-მდე ვერსიებს. მასთან დაკავშირებული, თუმცა ნაკლებად მძიმე SQL ინექციის პრობლემა, CVE-2026-60137, ეხება 6.8-დან დაწყებულ ვერსიებს და გამოსწორებულია 6.8.6-ში. 6.8-მდე არსებული ვერსიები არცერთ ამ პრობლემას არ ექვემდებარება.aikido+2

პარასკევს გამოქვეყნებული Cloudflare ↘ 10.51%-ის ბლოგპოსტის თანახმად, RCE-ს ექსპლუატაცია შესაძლებელია "როდესაც მუდმივი ობიექტების ქეში არ გამოიყენება", რაც ეხება WordPress-ის სტანდარტული ინსტალაციების უმრავლესობას. WordPress-ის უსაფრთხოების გუნდმა მოწყვლადობების შესახებ Cloudflare-ს საჯარო გამოშვებამდე აცნობა, რამაც კომპანიას საშუალება მისცა დაენერგა WAF დაცვა 17:03 UTC-ზე.cloudflare

შერბილება და რეაგირება

WordPress.org-მა დაზარალებული საიტებისთვის ჩართო იძულებითი ავტომატური განახლებები, თუმცა იმ გარემოებებში, სადაც ავტომატური განახლებები გამორთულია ან ვერსიების კონტროლი გამოიყენება, პატჩი შესაძლოა ავტომატურად არ დაინსტალირდეს. WordPress-ის ოფიციალურ განცხადებაში ეს პრობლემა მოხსენიებულია, როგორც ორგანიზაციის "უმაღლესი სიმძიმის და უმაღლესი პრიორიტეტის მქონე საკითხი".wordpress+2

იმ საიტებისთვის, რომლებსაც დაუყოვნებლივ არ შეუძლიათ განახლება, უსაფრთხოების გუნდები ურჩევენ დაბლოკონ როგორც `/wp-json/batch/v1`, ისე საძიებო სტრიქონის ფორმა `?rest_route=/batch/v1` WAF-ის დონეზე. მხოლოდ ლამაზი პერმალინკის გზის დაბლოკვა ალტერნატიულ მარშრუტს დაუცველს ტოვებს.nebula+1

ღია კოდის პარადოქსი

იმის გამო, რომ WordPress ღია კოდის მქონეა, საჯარო გამოშვების არქივი გამოსწორებას – და შესაბამისად, ხარვეზისკენ მიმავალ გზას – ერთდროულად ხელმისაწვდომს ხდის როგორც დამცველებისთვის, ისე თავდამსხმელებისთვის. გამჟღავნების მომენტისთვის ექსპლუატაციის ფაქტები არ დაფიქსირებულა, თუმცა უსაფრთხოების მკვლევრებმა აღნიშნეს, რომ ძირითადი RCE მოწყვლადობების შემთხვევაში, "საათებს უფრო მეტი მნიშვნელობა აქვს, ვიდრე დღეებს". WordPress-ზე მუშაობს ყველა ვებსაიტის დაახლოებით 40 პროცენტი, რაც პატჩის ხელმისაწვდომობასა და ფართო მასშტაბით დანერგვას შორის არსებულ ფანჯარას დაუცველი ინსტალაციებისთვის მწვავე რისკის პერიოდად აქცევს.nebula