וורדפרס פרסמה ב-28 באוקטובר את גרסה 7.1.4 שמתקנת פגיעות הרצת קוד מרחוק ללא אימות בליבת המערכת. ימים ספורים אחרי כן נצפו ניסיונות ניצול רבים, ולכן כדאי לעדכן מיד.
מה קרה
בעת שדרוג ליבה מלא, וורדפרס פורסת קבצים, כולל מתקין, בנתיב צפוי תחת wp-content/upgrade שנגיש דרך הרשת. תוקף שפוגע בחלון זמן צר בזמן הפריסה, שנמדד במעבדה בשניות, עשוי להגיע להרצת קוד. הפגיעות מדורגת CVSS 8.1 (חמורה, לא קריטית) ולא קיבלה מזהה CVE.
צוות Wordfence דיווח שחסם 62,969 ניסיונות תקיפה ב-24 השעות האחרונות, עם פניות חוזרות לנתיבים כמו setup-config.php.
נקודות לשים לב
- עדכן ל-WordPress 7.1.4. הגרסאות המושפעות הן 4.7 עד 7.1.3.
- בדוק בלוגי השרת בקשות חשודות לקובצי PHP תחת
wp-content/upgrade, במיוחד לנתיבי מתקין. - חפש משתמשי מנהל, תוספים או קובצי PHP שאינך מכיר.
- המספר שדווח הוא ניסיונות שנחסמו אצל לקוחות Wordfence; לא פורסם כמה ניסיונות הצליחו בכלל.
מקורות: WordPress.org · Wordfence · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
