WordPress drošības caurums: kritiska kļūda ļauj uzbrucējiem iegūt pilnīgu kontroli

WordPress drauds: divas ievainojamības, viens bīstams kokteilis

WordPress ir pasaulē populārākā satura pārvaldības sistēma, ko izmanto miljoniem vietņu visā pasaulē, tostarp Latvijā. Diemžēl nesen atklātas divas nopietnas drošības ievainojamības, kuras kombinējot, uzbrucējiem ir iespēja iegūt pilnīgu kontroli pār jūsu vietni bez jebkādas autentifikācijas. Tas nozīmē, ka hakeri var veikt attālinātu koda izpildi (RCE), kas var radīt neatsaucamus bojājumus jūsu vietnei un datiem.

Pirmā no atklātajām kļūdām ir kritiska SQL injekcijas ievainojamība (CVE-2026-60137) ar ļoti augstu riska rādītāju - CVSS 9.1 no 10. Tā ir saistīta ar `WP_Query` parametru `author__not_in`, kas netiek pareizi pārbaudīts. Tas ļauj uzbrucējiem ievadīt ļaunprātīgus datu bāzes vaicājumus, lai manipulētu ar datiem vai iegūtu informāciju.

Otrā kļūda, ko atklājuši Searchlight Cyber pētnieki un nosaukuši par “WP2Shell” (CVE-2026-63030), ir vērtēta ar CVSS 7.5/10 (augsts risks) un skar WordPress REST API. Konkrēti, problēma atrodama API galapunktā `/wp-json/batch/v1`, kas ļauj veikt koda injekciju.

Kāpēc tas ir bīstami jūsu vietnei?

Lai gan katra no šīm ievainojamībām pati par sevi ir nopietna, tās apvienojot, veidojas īpaši bīstams scenārijs. “WP2Shell” apvienojumā ar SQL injekciju nodrošina uzbrucējiem iespēju attālināti izpildīt kodu jūsu WordPress instalācijā bez nepieciešamības pieteikties. Tas nozīmē, ka hakeri var:

• Pilnībā pārņemt jūsu vietni.
• Dzēst vai modificēt visus jūsu datus.
• Instalēt ļaunprātīgu programmatūru apmeklētāju datoros.
• Izmantot jūsu vietni kā platformu turpmākiem uzbrukumiem.

Ar aptuveni 500 miljoniem WordPress instalāciju internetā, šī ir plaša un ļoti pievilcīga mērķa virsma uzbrucējiem, kuri var izmantot automatizētus rīkus, lai meklētu un izmantotu neaizsargātas vietnes.

Steidzami atjauninājumi un pagaidu labojumi

WordPress komanda ir reaģējusi ātri un jau ir izlaidusi drošības atjauninājumus. Ir būtiski nekavējoties atjaunināt jūsu WordPress instalāciju uz kādu no šīm versijām:

• WordPress 7.0.2
• WordPress 6.9.5
• WordPress 6.8.6
• WordPress 7.1 beta 2

Svarīgi atzīmēt, ka versijas, kas ir vecākas par WordPress 6.8, nav pakļautas šim konkrētajam draudam. Tomēr regulāra atjaunināšana vienmēr ir labākā prakse.

Ja kādu iemeslu dēļ nevarat uzreiz atjaunināt savu WordPress vietni, Searchlight Cyber ir piedāvājuši pagaidu risinājumu - mini-spraudni. Tas sastāv no dažām PHP koda rindām, kas pievieno autentifikāciju bīstamajam API maršrutam. To var lejupielādēt un pārbaudīt vietnē wp2shell.com.

Kāpēc katra minūte ir svarīga?

Drošības eksperti brīdina, ka uzbrucēji, visticamāk, jau analizē izlaistos drošības labojumus ar mākslīgā intelekta palīdzību. Tas nozīmē, ka pirmie veiksmīgie uzbrukumu mēģinājumi var sākties jau šajā nedēļas nogalē. Katra kavēšanās minūte palielina jūsu vietnes pakļaušanu riskam.

WordPress ir populārs, pateicoties plašajam tēmu un spraudņu piedāvājumam, kas diemžēl bieži ir drošības ievainojamību avots. Kļūdas pašā WordPress kodolā ir retākas, tāpēc šim gadījumam jāpievērš īpaša uzmanība.

Vai jūsu WordPress vietne ir pasargāta? Neļaujiet kļūdām to apdraudēt!