WordPress-ის ხარვეზზე პატჩიდან რამდენიმე საათში მიიტანეს იერიში

მას შემდეგ, რაც WordPress-მა ამ კვირის სამშაბათს ვერსიის მეორე განახლება გამოაქვეყნა, მხოლოდ რამდენიმე საათი გავიდა. კიბერდამნაშავეებმა განახლებაში აღმოფხვრილ კრიტიკულ უსაფრთხოების ხარვეზზე იერიში უკვე მიიტანეს. WordPress-ის ადმინისტრატორებმა თავიანთი სისტემები სწრაფად უნდა განაახლონ. თუ ავტომატური განახლებები ჩართულია, WordPress შესწორებას თავად დააყენებს.

Patchstack-ის საინფორმაციო უსაფრთხოების მკვლევრებმა WordPress 7.1.2-ის მეორე განახლების გამოქვეყნებიდან რამდენიმე საათში დაზვერვის პირველი მცდელობები შენიშნეს. თუმცა ოთხშაბათიდან თავდამსხმელები მხოლოდ დაზვერვით აღარ შემოიფარგლებიან და ფაილს „pearcmd.php“ უმიზნებენ. მისი მეშვეობით ისინი სერვერის ფაილურ სისტემაში PHP-ფაილების ჩაწერას ცდილობენ. ამავე დროიდან მიმდინარეობს სკანირება ცნობილი ხელსაწყოებით, რომლებიც CVE-2026-87902 ხარვეზისთვისაა განკუთვნილი. Patchstack-ის მიხედვით, მისი CVSS-ქულა 9.2-ია, ხოლო რისკი „კრიტიკულია“. თავდამსხმელებს Path Traversal-ის ხარვეზის მეშვეობით, წინასწარი ავთენტიფიკაციის გარეშე, სერვერზე ადგილობრივი PHP-ფაილების ჩართვა შეუძლიათ. თუ სერვერი და აქტიური თემა გარკვეულ მოთხოვნებს აკმაყოფილებს, ხარვეზი მავნე კოდის გასაშვებად შეიძლება გამოიყენონ.

ხარვეზი WordPress-ის ვერსიებზე 4.7.0-დან 7.1.1-ის ჩათვლით მოქმედებს. ამჟამად შესწორებული ვერსიებია WordPress 7.1.2, 7.0.6, 6.9.9 და 6.8.10. ასევე ხელმისაწვდომია შესწორებები ყველა ძველი შტოსთვის, 4.7.37-მდე.

Patchstack-ის მკვლევრების თქმით, ხარვეზისკენ მიმართული ტრაფიკი პირველი საღამოდან ათჯერ მეტად გაიზარდა. თავდასხმები რამდენიმე ეტაპად მიმდინარეობს. თავდაპირველად, განსაკუთრებით პირველ დღეს, ფაილების ჩართვის მცდელობები ძირითად სისტემურ ფაილებს უმიზნებს. სერვერის პასუხი თავდამსხმელებს აჩვენებს, მოწყვლადია თუ არა სისტემა. მეორე ეტაპზე ისინი ჰოსტზე არსებულ სამ სხვადასხვა საქაღალდეში „pearcmd.php“-ზე წვდომას ცდილობენ. მესამე ეტაპზე თავდამსხმელები წაკითხვიდან ჩაწერაზე გადადიან და „pearcmd.php“-ის ბრძანებას „config-create“ იყენებენ.

თავდამსხმელები ნებისმიერ ფაილში საკუთარ PHP-შიგთავსს წერენ, რასაც მავნე კოდის გაშვება მოჰყვება. აქამდე დაფიქსირებულ თავდასხმებში ფაილები /tmp და /var/tmp საქაღალდეებში განათავსეს. ფაილების სახელებს შორის იყო „wp-pear-rce-flag.php“, „poc87902.php“, „luci_<random>.php“ და „zeta_<random>.php“. რადგან /tmp საქაღალდე, როგორც წესი, ქსელიდან მიუწვდომელია, მკვლევრები ამას მუდმივ უკანა კარზე მეტად კოდის გაშვების მტკიცებულებად მიიჩნევენ. მიუხედავად ამისა, ჰოსტი სრულად კომპრომეტირებულია. თავდამსხმელებს იმავე გზით ფაილების ქსელიდან მისაწვდომ ადგილებში განთავსებაც შეუძლიათ. ზოგიერთი User-Agent მიუთითებს, რომ საჯაროდ ხელმისაწვდომია საცდელი კოდი და Nuclei-ის ხარვეზების სკანერის შაბლონი. ამიტომ თავდასხმების განხორციელება უკვე ძალიან მარტივია.