Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]
All voices matter
WordPress-ը շտկել է կրիտիկական խոցելիությունը, որը թույլ է տալիս գրավել կայքերը
- Ուրբաթ օրը WordPress-ը թողարկեց 7.0.2 և 6.9.5 տարբերակները՝ շտկելու համար "wp2shell" կոչվող կրիտիկական խոցելիությունը, որը թույլ է տալիս անանուն հարձակվողներին լիակատար վերահսկողություն ստանալ կայքերի նկատմամբ:
wordpress+1 - Խոցելիությունը կապում է REST API-ի խմբաքանակային երթուղու շփոթությունը SQL ներարկման հետ՝ չպահանջելով մուտք, հավելումներ կամ հատուկ կոնֆիգուրացիա:
aikido+1 - Cloudflare -ը ուրբաթ օրը գործարկեց WAF պաշտպանություն, սակայն WordPress.org-ը հորդորեց անհապաղ թարմացնել համակարգը՝ այն անվանելով հարթակի ամենաբարձր աստիճանի խնդիր:
cloudflare+1
Ուրբաթ օրը WordPress-ը թողարկեց անվտանգության արտակարգ թարմացումներ՝ փակելով նախա-նույնականացման կրիտիկական հեռավոր կոդի կատարման (RCE) խոցելիությունը, որը թույլ է տալիս անանուն հարձակվողին մեկ HTTP հարցումով լիակատար վերահսկողություն ստանալ ցանկացած ստանդարտ WordPress տեղադրման նկատմամբ:
Խոցելիությունը
Հուլիսի 17-ին թողարկված 7.0.2 և 6.9.5 տարբերակները շտկում են CVE-2026-63030 խոցելիությունը, որը հետազոտողների կողմից անվանվել է "wp2shell": Խոցելիությունը կապում է REST API-ի խմբաքանակային հարցման երթուղու շփոթությունը SQL ներարկման հետ՝ առանց նույնականացման RCE-ի հասնելու համար, ինչը վեբ խոցելիությունների ամենալուրջ դասն է և չի պահանջում մուտք, հատուկ կոնֆիգուրացիա կամ հավելումներ:nebula+3
Խնդիրը ազդում է WordPress 6.9.0-ից 6.9.4 և 7.0.0-ից 7.0.1 տարբերակների վրա: Դրան առնչվող, սակայն ավելի քիչ լուրջ SQL ներարկման խնդիրը՝ CVE-2026-60137-ը, ազդում է 6.8-ից սկսած տարբերակների վրա և շտկված է 6.8.6-ում: 6.8-ից ցածր տարբերակները չեն ազդվում այս խնդիրներից:aikido+2
Ուրբաթ օրը հրապարակված Cloudflare -ի բլոգային գրառման համաձայն՝ RCE-ն շահագործելի է, "երբ մշտական օբյեկտների քեշը չի օգտագործվում", ինչը վերաբերում է WordPress-ի ստանդարտ տեղադրումների մեծ մասին: WordPress-ի անվտանգության թիմը խոցելիությունների մասին տեղեկացրել է Cloudflare-ին մինչև հրապարակային թողարկումը, ինչը ընկերությանը թույլ է տվել WAF պաշտպանություն տեղակայել UTC ժամանակով 17:03-ին:cloudflare
Մեղմացում և արձագանք
WordPress.org-ը միացրել է հարկադիր ավտոմատ թարմացումները տուժած կայքերի համար, թեև այն միջավայրերում, որտեղ ավտոմատ թարմացումները անջատված են կամ օգտագործվում է տարբերակների կառավարում, կարկատանը կարող է ավտոմատ կերպով չտեղադրվել: WordPress-ի պաշտոնական ծանուցման մեջ այն անվանվել է կազմակերպության "ամենաբարձր աստիճանի և ամենաբարձր առաջնահերթության խնդիր":wordpress+2
Այն կայքերի համար, որոնք չեն կարող անհապաղ թարմացվել, անվտանգության թիմերին խորհուրդ է տրվում WAF մակարդակում արգելափակել ինչպես `/wp-json/batch/v1`-ը, այնպես էլ `?rest_route=/batch/v1` հարցման տողը: Միայն գեղեցիկ պերմալինկի ուղին արգելափակելը այլընտրանքային երթուղին թողնում է անպաշտպան:nebula+1
Բաց կոդի պարադոքսը
Քանի որ WordPress-ը բաց կոդով է, հրապարակային թողարկման արխիվը շտկումը, և հետևաբար՝ դեպի սխալ տանող ճանապարհը, միաժամանակ հասանելի է դարձնում ինչպես պաշտպանների, այնպես էլ հարձակվողների համար: Հրապարակման պահին շահագործման դեպքեր չեն հաղորդվել, սակայն անվտանգության հետազոտողները նշել են, որ հիմնական RCE խոցելիությունների դեպքում "ժամերն ավելի կարևոր են, քան օրերը": WordPress-ը աշխատեցնում է բոլոր կայքերի մոտ 40 տոկոսը, ինչը կարկատանի հասանելիության և լայնածավալ ընդունման միջև ընկած ժամանակահատվածը դարձնում է սուր ռիսկային շրջան չթարմացված տեղադրումների համար:nebula
Աղբյուրներ (14)
- 1 WordPress 7.0.2 Release wordpress.org
- 2 WordPress 7.0.2 Patches wp2shell: Critical Pre-Auth RCE nebula.design
- 3 Unauthenticated RCE in WordPress core (wp2shell) www.aikido.dev
- 4 Cloudflare WAF protects WordPress applications from two ... blog.cloudflare.com
- 5 WordPress Unauthenticated Vulnerabilities - Ben Ryan benryan.com.au
- 6 🚨 CRITICAL SECURITY ALERT — WordPress Core On ... x.com
- 7 Remote Code Execution (RCE) in WordPress WP Ultimate ... patchstack.com
- 8 CVE-2026-1357 WordPress RCE allows site takeover www.indusface.com
- 9 WordPress 6.9.2 Release (security release) today www.reddit.com
- 10 Ninja Forms CVE-2026-0740: Unauth RCE via AJAX mysites.guru
- 11 CVE-2026-1830: WordPress Quick Playground RCE ... www.sentinelone.com
- 12 CVE-2026-9290: WP User Manager Plugin RCE Vulnerability www.sentinelone.com
- 13 WordPress Security Statistics for 2026 ft: wp2shell www.swif.ai
- 14 CVE-2026-5464 Detail - NVD nvd.nist.gov
