Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Wordfence notuje próby ataków na błąd w aktualizacji WordPressa, poprawkę zawiera wersja 7.1.4

Rodzaj
Streszczenie
Data
Kategoria
Aktualności
Redakcja
Paweł Rosół
Źródło
Wordfence ()

Podatność w procesie aktualizacji WordPress Core od 4.7 do 7.1.3 pozwala bez logowania wykonać kod na serwerze, ale tylko w krótkim oknie podczas instalacji pełnego pakietu. Wordfence ocenia ją na 8.1 w skali CVSS i nie informuje o udanych włamaniach.

WordPress wydał 28 października 2026 r. wersję 7.1.4 z poprawkami 22 podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.. Najpoważniejsza z nich to wyścig podczas aktualizacji rdzenia, który może prowadzić do zdalnego wykonania kodu. Wordfence ocenia ją na 8.1 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. i podaje, że dotyczy wersji od 4.7 do 7.1.3, a atak nie wymaga konta w serwisie. Według Brandefense 30 października błąd nie miał numeru CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. i nie było go w katalogu KEVKatalog KEV Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności..

Przy aktualizacji z pełnego pakietu podatne wersje rozpakowują pliki do przewidywalnego katalogu pod wp-content/upgrade, a ta kopia zawiera instalator. Na wielu serwerach katalog jest dostępny z sieci, więc żądanie do instalatora wysłane w odpowiednim momencie może doprowadzić do wykonania kodu PHP. Wordfence uznaje atak za trudny: w testach katalog istniał zwykle zaledwie przez sekundy. Wersja 7.1.4 losuje nazwę katalogu, dodaje zabezpieczenie indeksu i blokuje niebezpieczne przenoszenie konfiguracji z tymczasowej kopii.

Pierwsze żądanie pasujące do nowej reguły zaporyZapora sieciowa Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników. Wordfence przyszło dziewięć minut po jej wdrożeniu 28 października, a w ciągu 21 godzin firma naliczyła ponad 18 500 żądań do ścieżek z setup-config.php, choć nie wszystkie używały dokładnie podatnej ścieżki. Dwa największe źródła przez około 14,5 godziny odpytywały małe grupy stron. Techaeris, powołując się na Wordfence, podaje 62 969 zablokowanych prób w pierwszej dobie po wydaniu poprawki, ale wpis firmy w wersji z 30 października tej liczby nie zawiera. Autor wpisu, Alex Thomas, napisał w komentarzu pod nim, że ruch był stosunkowo niewielki wobec liczby klientów firmy i skupiony. SecurityWeek zaznacza, że Wordfence nie informuje o udanych włamaniach.

Dotyczy to każdej organizacji ze stroną na WordPressie, także urzędu czy spółki komunalnej. Sprawdź w panelu administracyjnym, czy działa wersja 7.1.4 albo poprawione wydanie Twojej gałęzi, na przykład 7.0.8, 6.9.11, 6.8.12, a dla najstarszej 4.7.39. Wordfence radzi nie zakładać, że automatyczna aktualizacja się udała. Wersje 4.6 i starsze poprawek już nie dostają. Jeśli strona pozostała bez poprawki, przejrzyj logi pod kątem żądań do plików PHP w wp-content/upgrade i poszukaj nieznanych kont administratorów, wtyczek oraz plików PHP. Kto zarządza serwerem, może przed aktualizacją czasowo zablokować dostęp HTTP do /wp-content/upgrade/. Thomas zgodził się z tą radą czytelnika, ale nie zaleca przez nią odkładać aktualizacji. Użytkownicy darmowej wersji Wordfence dostaną regułę zapory 27 listopada 2026 r.

Źródła

Pojęcia w tym tekście (5)
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
CVE
Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.
Katalog KEV
Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
Zapora sieciowa
Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.