WordPress je izdal nujno varnostno posodobitev, ki zahteva vašo takojšnjo pozornost. Varnostna ekipa WordPressa je 17. julija izdala WordPress 7.0.2, ki odpravlja kritično ranljivost, zaradi katere lahko napadalec brez prijave prevzame nadzor nad običajno WordPress namestitvijo. Pri tem niso potrebni nobeni ranljivi vtičniki ali teme.
Resnost ranljivosti potrjuje neobičajen ukrep: WordPress.org je za vsa spletna mesta z ranljivimi različicami omogočil prisilne samodejne posodobitve. Če vaše spletno mesto uporablja ranljivo različico, ga posodobite še danes.
Kaj se je zgodilo
Kritična ranljivost združuje napako pri obravnavi paketnih zahtev REST API-ja in SQL-vbrizgavanje, kar skupaj omogoča izvajanje oddaljene kode. Vstopna točka je paketna končna točka REST API-ja (/wp-json/batch/v1), ki je prisotna v vsaki običajni WordPress namestitvi. Preprosto povedano: anonimni napadalec bi lahko prevzel popoln nadzor nad neposodobljenim spletnim mestom.
Varnostni raziskovalec Adam Kues iz podjetja Searchlight Cyber je ranljivost odgovorno prijavil, zato je imela WordPressova ekipa dovolj časa za pripravo popravkov, preden je bila informacija javno objavljena. Ista izdaja odpravlja tudi ločeno SQL-ranljivost visoke stopnje resnosti.
Katere različice so prizadete
- WordPress 7.0.0 do 7.0.1 → posodobite na 7.0.2
- WordPress 6.9.0 do 6.9.4 → posodobite na 6.9.5
- WordPress 6.8.x → ranljivost za prevzem spletnega mesta ga ne prizadene, izpostavljen pa je ločeni SQL-ranljivosti → posodobite na 6.8.6
- WordPress 7.1 beta → ranljivost je odpravljena v različici beta 2
- Različice pred 6.8 → nobena od ranljivosti jih ne prizadene
Ne predvidevajte, da se je vaše spletno mesto posodobilo samodejno. Preverite. Prijavite se v WordPress nadzorno ploščo in pod zavihkom Posodobitve preverite trenutno različico. Prisilne samodejne posodobitve zajemajo večino spletnih mest, vendar lahko namestitve z onemogočenimi posodobitvami v ozadju ali prilagojenimi nastavitvami gostovanja ostanejo neposodobljene.
Kaj morate storiti takoj
1. Posodobite WordPress. Odprite Nadzorna plošča → Posodobitve → Posodobi zdaj ali prenesite najnovejšo različico s spletnega mesta WordPress.org.
2. Če posodobitve trenutno res ne morete izvesti, lahko uporabite začasne zaščitne ukrepe: preprečite neprijavljenim uporabnikom dostop do REST API-ja ali v požarnem zidu blokirajte pot /wp-json/batch/v1 in parameter poizvedbe rest_route=/batch/v1. Oba ukrepa lahko vplivata na legitimni promet prek REST API-ja, zato ju uporabljajte le kot kratkotrajno zaščito do namestitve popravka.
3. Po posodobitvi preverite spletno mesto. Če je vaše spletno mesto nekaj dni uporabljalo prizadeto različico, preverite, ali so bili ustvarjeni nepričakovani skrbniški uporabniki, nedavno spremenjene datoteke ali neznana načrtovana opravila. Če opazite kar koli sumljivega, prosite svojega razvijalca ali ponudnika vzdrževanja, da opravi podrobnejši pregled.
Kako smo ukrepali pri WPM
Vsa spletna mesta, vključena v naše pakete vzdrževanja in podpore, smo že posodobili na zaščitene različice ter jih kot dodaten previdnostni ukrep še naprej spremljamo. Prav takšni primeri pokažejo pravi pomen rednega vzdrževanja. Ko je odkrita kritična ranljivost, spletna mesta, ki so posodobljena v nekaj urah, ostanejo zaščitena, tista, ki čakajo, pa hitro postanejo tarče.
Če vaše spletno mesto ni vključeno v aktivno vzdrževanje in niste prepričani, ali je zaščiteno, še danes preverite različico WordPressa ali pa stopite v stik z nami in pomagali vam bomo opraviti pregled.
Pogled naprej
Kritične ranljivosti v jedru WordPressa so redke, odziv na to ranljivost pa kaže, da je varnostni sistem deloval tako, kot mora. Ranljivost je bila prijavljena zasebno, popravki so bili preneseni v tri razvojne veje, za množično zaščito spletnih mest pa so bile v le nekaj dneh omogočene prisilne posodobitve.
Kljub temu noben varnostni postopek ne more nadomestiti osnov: redno posodabljajte jedro WordPressa, vtičnike in teme ter poskrbite, da bo nekdo spremljal vaše spletno mesto, ko pride do takšne varnostne posodobitve.
