Команда WordPress 28 октября выпустила версию 7.1.4 с исправлениями безопасности. Исследователи Patchstack насчитали 22 проблемы в 17 бюллетенях. Самая необычная ошибка связана с обновлением самого ядра: при определенных условиях посторонний пользователь мог добиться удаленного выполнения кода на сервере, попав в короткий промежуток между этапами установки. Это не универсальный способ взломать любой сайт на WordPress без входа.
Когда опасна ошибка обновления ядра
Уязвимость связана с гонкой при обновлении WordPress. Чтобы сценарий завершился выполнением чужого кода без авторизации, атакующему необходимо попасть в короткое окно, когда обновление уже идет, и иметь возможность обращаться к служебному каталогу wp-content/upgrade/ через интернет. Обычно этот каталог не должен становиться открытой точкой запуска произвольных файлов. Наличие WordPress на сервере не делает описанную цепочку автоматически доступной в любой момент.
Именно эта комбинация условий отличает ошибку от обычной уязвимости с постоянно доступным внешним интерфейсом. Patchstack отмечает, что временное окно измеряется секундами, а большинство остальных ошибок в выпуске требуют наличия учетной записи хотя бы с правами автора материалов.
Какие другие проблемы закрыла версия 7.1.4
В официальном объявлении WordPress перечислены исправления сохраненных XSS в блоках плейлистов, изображений и навигации по комментариям, а также ошибка контроля доступа к заметкам редактора. При сохраненной XSS вредоносная разметка попадает в материал и выполняется позже у другого пользователя, например у редактора, который открыл страницу. Условия каждого исправления отличаются: общий подсчет в 22 проблемы не означает, что все они позволяют удаленно запускать код.
Релиз также обновляет набор корневых сертификатов из-за отзыва eMudhra. Эта часть обновления касается цепочек доверия HTTPS, а не захвата сайтов через уязвимость в PHP.
Что делать владельцам сайтов
Разработчики рекомендуют установить WordPress 7.1.4 немедленно через панель администратора или штатные инструменты развертывания. Исправления для поддерживаемых старых веток распространяются отдельно: конкретную сборку нужно сверить с текущим списком релизов, поскольку публикация backport-пакетов может происходить поэтапно. Перед обновлением имеет смысл убедиться в наличии резервной копии и проверить, что сервер не отдает содержимое временных каталогов установки в обход правил веб-сервера.
Статус массовой эксплуатации описанной гонки в открытых источниках на 29 октября не подтвержден. Впрочем, наличие исправления и технического разбора повышает риск повторения эксперимента, поэтому откладывать обновление ядра нет смысла.
Почему это отдельная новость, а не Click2Shell
Сентябрьская история Click2Shell касалась установки и предпросмотра темы через административный интерфейс. Здесь речь о другом механизме — обслуживании ядра во время апдейта. Путать эти ошибки нельзя: требуемые действия пользователя, компоненты и условия эксплуатации у них различаются.
Читайте также: Click2Shell открывал путь к захвату WordPress
Вопросы и ответы (FAQ)
Все сайты на WordPress 7.1.3 можно взломать удаленно?
Нет. Для опасного сценария нужен процесс обновления и доступный извне служебный каталог.
Сколько проблем закрыто?
Patchstack насчитал 22 проблемы в 17 бюллетенях.
Что делать со старыми ветками WordPress?
Проверить и установить доступную поддерживаемую версию с соответствующими backport-исправлениями.
Это уязвимость плагина?
Нет. Новость касается ядра WordPress.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
