WordPress avaldas 22. septembril turvauuenduse 7.1.2, mis parandab kriitilise turvanõrkuse. Ründajad hakkasid seda ära kasutama juba mõne tunni jooksul pärast paranduse ilmumist. Seetõttu ei tasu uuendusega oodata järgmise korralise hoolduseni.
Mis juhtus?
Turvanõrkuse tähis on CVE-2026-87902 ja WordPressi turvameeskonna hinnangul on selle raskusaste 9,2 punkti 10-st (CVSS v4.0). Viga on WordPressi enda koodis, mitte mõnes pluginas ehk pistikprogrammis, ja see puudutab versioone 4.7.0 kuni 7.1.1.
Vea kaudu saab ründaja ilma sisse logimata sundida WordPressi lehe kuvamisel kasutama mõnda muud serveris olevat PHP-faili. Sobivate tingimuste korral saab võõras inimene nii teie serveris oma koodi käivitada ja veebilehe üle võtta.
Kui kiiresti rünnakud algasid?
Turvaettevõte Patchstack nägi esimesi ründekatseid juba paranduse avaldamise päeval. Samal päeval prooviti ka esimest korda serverisse faili kirjutada. Enamasti olid need kahjutud proovifailid, mõned olid aga mõeldud serveris käskude käivitamiseks.
Järgmisel päeval ilmusid avalikud skaneerimistööriistad ja Patchstacki andmetel kasvas ründeliiklus esimese õhtuga võrreldes üle kümne korra. Rünnakutest kirjutas 23. septembril ka tehnikaväljaanne BleepingComputer.
Patchstacki hinnangul on uuendamine endiselt õige lahendus ning pärast failide kirjutamise katseid ka kiireloomuline.
Kas teie veebileht on ohus?
Ohus on iga WordPressi leht versioonidega 4.7.0 kuni 7.1.1, mis ei ole veel 22. septembri parandust saanud. Et ründaja saaks serveris koodi käivitada, peavad turvateate järgi kokku langema veel kaks tingimust.
- Teema. Aktiivsel teemal on kaust, mille nimi algab „page-“-ga. Turvateates on näidetena nimetatud vanu teemasid Twenty Twelve ja Twenty Fourteen ning teemasid Neve, Hestia ja Sydney.
- Server. Serveris on PHP lisapakett PEAR ja seadistus, mis laseb seda ära kasutada. Turvateate järgi on see nii näiteks ametlikus PHP Dockeri keskkonnas ning cPaneli vaikeseadistuses, kui PHP versioon on vanem kui 8.5.
Veebilehe omanik ei pruugi neid üksikasju teadagi. Uuendamata versioon ei tähenda veel, et lehele oleks sisse murtud. Uuendada on siiski kiirem kui välja selgitada, kas kõik tingimused on täidetud.
Kuidas WordPressi versiooni kontrollida?
Versiooni näete WordPressi haldusliidese uuenduste lehel. Kui leht on uuendatud, on seal versioon 7.1.2 või teie vanema versiooniliini parandus, näiteks 6.9.9. Kui te ise haldusliidesesse ei pääse, küsige versiooni veebilehe tegijalt või IT-partnerilt – selleks piisab lühikesest e-kirjast.
Mida teha?
- Uuendage WordPress kohe. Uusim versioon on 7.1.2. Vanematele versiooniliinidele avaldati samal päeval eraldi parandused, näiteks 6.9.9 ja 6.8.10. Versioonid 4.6 ja vanemad parandust ei saa.
- Lülitage sisse automaatsed turvauuendused. Siis paigaldab WordPress järgmise turvaparanduse ise ega jää ootama, kuni keegi selle käsitsi teeb.
- Paluge majutusteenuse pakkujal serveri seadistus üle vaadata. Patchstack soovitab välja lülitada PHP seadistuse
register_argc_argv. See katkestab praegu kasutatava ründeahela, kuid ei asenda uuendust. - Laske IT-partneril logid ja failid üle vaadata. Kahtlased on päringud, mille lehe nime parameetris on märgid
%2e%2e. Ootamatud PHP-failid serveri ajutistes kaustades on Patchstacki sõnul märk, et leht on üle võetud. - Kui leiate sissetungi jälgi, ärge piirduge uuendamisega. Uuendus sulgeb ukse, kuid ei eemalda serverisse juba jäetud faile. Sissemurdmisest saab teatada CERT-EE-le aadressil cert@cert.ee. Esimesed sammud leiate meie juhtumi lehelt.
Uusi kriitilisi turvanõrkusi avaldatakse pidevalt ja ründajad tegutsevad kiiresti. Igakuise seire korral anname samal päeval teada, kui ilmub oht, mis puudutab just teie veebilehte.
Allikad
- WordPress (GitHub): Path traversal in page template resolution, GHSA-7hp8-65ch-5whp
- Patchstack: CVE-2026-87902 – Attackers Started Probing WordPress Sites Hours After the Patch
- BleepingComputer: Hackers start exploiting critical WordPress flaw for code execution
Postituse koostamisel kasutasime tehisintellekti. Faktid põhinevad allpool loetletud allikatel ja on kirjutatud uudise ilmumise päeva teadmiste põhjal. Kuidas me tehisintellekti kasutame.
