WordPress-ზე შეტევები დაფიქსირდა, განახლებამ მავნე კოდის ხარვეზი გამოასწორა

ქსელურ გარემოში WordPress-ის ინსტანციების მოვლაზე პასუხისმგებელმა პირებმა უნდა შეამოწმონ, რომ სისტემები განახლებულია. ოთხშაბათს დეველოპერებმა CMS-ში უსაფრთხოების ხარვეზების გამოსასწორებელი განახლებები გამოაქვეყნეს. ერთ-ერთი ხარვეზის გამოყენების პირველი მცდელობები განახლებების ხელმისაწვდომობიდან მალევე დაფიქსირდა.

ამის შესახებ აფრთხილებს IT-უსაფრთხოების კომპანია Wordfence (Wordfence), რომელიც WordPress-ის ეკოსისტემაზეა სპეციალიზებული. WordPress 7.1.4-ის ვერსიის შესახებ განცხადებაში ჩამოთვლილია თითქმის ორი ათეული უსაფრთხოების ხარვეზი, რომლებსაც განახლებული პაკეტები ასწორებს. განცხადებაში ასევე საუბარია WordPress-ის ძველი ვერსიებისთვის შესწორებების უკუგადატანაზე. ეს შესწორებები ამ ვერსიებშიც შედის: WordPress 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11 და 7.0.8.

უკვე გამოყენებული ხარვეზის მიზეზია WordPress-ის ბირთვის მიერ ბირთვის განახლებისას ისეთი გზის გამოყენება, რომლის წინასწარ გამოცნობა შესაძლებელია და ინტერნეტიდან წვდომაც აქვს. ამ გზით ინტერნეტიდან მოქმედ არაავთენტიფიცირებულ თავდამსხმელებს შეუძლიათ მავნე კოდის შეყვანა და გაშვება, თუ სისტემა სწორედ ამ დროს ახლდება. შეტყობინების შედგენის მომენტისთვის CVE-ჩანაწერი ხელმისაწვდომი არ იყო, CVSS-ის შეფასება კი 8.1-ს შეადგენდა. რისკი „მაღალია“.

განახლების პროცესის მიმდინარე მდგომარეობაზე დამოკიდებულება თავდაპირველად შეიძლება მიანიშნებდეს, რომ ხარვეზის გამოყენება იშვიათადაა შესაძლებელი. თავდამსხმელებმა ინსტალაციის პროცესსა და მის დასუფთავების რუტინებს უნდა აჯობონ. IT-უსაფრთხოების მკვლევრების თქმით, ლაბორატორიულ გარემოში მოსამზადებელი დირექტორია მხოლოდ რამდენიმე წამით იყო ხელმისაწვდომი. თუმცა Wordfence-ის ცნობით, კომპანიის ტელემეტრიის სისტემებმა თავდასხმის აქტიური მცდელობები უკვე დააფიქსირა.

კომპანიამ შესაბამისი ფაიერვოლის წესი რომ დანერგა, მომდევნო 21 საათში სულ 18 500-ზე მეტი მოთხოვნა დათვალა. მოთხოვნებით ამოწმებდნენ მოწყვლად ინსტალაციის გზებს, მათ შორის „setup-config.php“-ს. თავდასხმის ორი ყველაზე აქტიური წყარო WordPress-ის საიტების მცირე ჯგუფებს დაახლოებით 14,5 საათის განმავლობაში განმეორებით ამოწმებდა. სხვა წყაროები მოთხოვნებში მოსამზადებელ გზებსა და ვერსიების სახელებს ცვლიდნენ.

ასეთი თავდასხმების წარმატების შანსს WordPress-ის ავტომატური განახლების მექანიზმიც ზრდის. ის ნაგულისხმევად ეძებს განახლებებს, შემდეგ ჩამოტვირთავს და ავტომატურად აყენებს მათ. მოწყვლადია მხოლოდ ის განახლება, რომლის დროსაც WordPress-ის ბირთვის სრული პაკეტი გამოიყენება. ამ დროს სისტემა პაკეტს წინასწარ გამოსაცნობ დირექტორიაში, „wp-content/upgrade“-ის ქვეშ შლის.