ב-28 באוקטובר 2026 פורסמה גרסה WordPress 7.1.4, שמתקנת פגיעות הרצת קוד מרחוק (RCE) ללא אימות בליבת המערכת. לפי Wordfence, תוך יממה נחסמו כ-63 אלף ניסיונות לנצל אותה. הניצול תלוי בתנאים צרים, אך מי שמריץ גרסה ישנה צריך לעדכן.
נתוני הפגיעות
| מזהה | לא הוקצה CVE; מזהה GHSA-4w3m-c66w-69mg |
| מוצר וגרסאות | WordPress Core, מגרסה 4.7 עד 7.1.3 |
| חומרה | CVSS 8.1 (חמורה) |
| מנוצל בפועל | Wordfence מדווחת על ניסיונות ניצול; הצלחות לא פורסמו |
| תיקון | 7.1.4 |
מה קרה
בעדכון ליבה מלא, וורדפרס פורסת זמנית את הקבצים בתיקייה צפויה תחת wp-content/upgrade, ובהם קבצי ההתקנה. אם התיקייה נגישה מהרשת ו-PHP רץ בה, תוקף שמצליח לפגוע בחלון הקצר שלפני המחיקה יכול להריץ קוד. מדובר בחלון של שניות.
Wordfence מתארת שני מקורות גדולים שבדקו קבוצות קטנות של אתרים כ-14.5 שעות, כנראה כדי לתפוס רגע עדכון, וקבוצות אחרות שניסו וריאציות של שמות תיקיות וגרסאות. חלק מהבדיקות כוונו אל setup-config.php.
נקודות לשים לב
- עדכן ל-WordPress 7.1.4. עדכוני ליבה אוטומטיים יכולים לטפל בכך, אך בדוק שהאתר אכן עלה לגרסה החדשה.
- חפש בלוגי השרת בקשות לקבצי PHP תחת
wp-content/upgradeובקשות חוזרות ל-setup-config.php. - בדוק משתמשי מנהל, תוספים וקובצי PHP שאינך מכיר. הצלחת ניצול משאירה בדרך כלל עקבות כאלה.
- הסיכון המעשי תלוי בתנאים: עדכון ליבה מלא, גישת רשת לתיקייה ו-PHP שרץ בה. חסימת הרצת PHP בתיקיית
wp-content/upgradeבשרת הווב מצמצמת חשיפה, אך אינה תחליף לעדכון.
מקורות: The Hacker News · Wordfence · WordPress.org
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
