WordPress 7.0.3 סוגרת את XSS2Shell: חולשה בדף הכניסה שיכולה להוביל להרצת קוד
WordPress שחררה ב-6 באוגוסט את גרסה 7.0.3, שסוגרת 12 חולשות. הבולטת בהן, XSS2Shell, פוגעת בדף הכניסה ויכולה להגיע להרצת קוד על השרת, אם מנהל אתר ילחץ על קישור זדוני.
TL;DR בקצרה
- גרסה 7.0.3 של WordPress יצאה ב-6 באוגוסט 2026 וסוגרת 12 חולשות אבטחה.
- XSS2Shell (CVE-2026-64638) היא חולשת XSS בדף הכניסה, שלא דורשת חשבון, ויכולה להוביל להרצת קוד.
- הרצת קוד על השרת דורשת שמנהל שנכנס לחשבונו יבקר בדף זדוני ויבצע בו פעולה.
- התיקונים עוברים גם לענפים הישנים עד גרסה 4.7. אתרים עם עדכון אוטומטי מתעדכנים לבד.
XSS2Shell היא חולשה בדף הכניסה של WordPress שיכולה להוביל להרצת קוד על השרת. WordPress סגרה אותה ב-6 באוגוסט 2026 בגרסה 7.0.3, יחד עם 11 תיקוני אבטחה נוספים. התוקף לא צריך חשבון, כי כל גולש יכול לפנות לדף הכניסה שלכם. לכן כדאי לוודא שהאתר התעדכן.
מה מאפשרת XSS2Shell
החולשה, CVE-2026-64638, היא XSS מוחזר. כלומר, הזרקת קוד JavaScript לדף דרך נתון שהאתר מחזיר לגולש. כאן הנתון הוא שם המשתמש שהוקלד בדף הכניסה. לפי pwn.ai, הצוות שגילה אותה, שם משתמש שלא קיים גורם להודעת שגיאה שמציגה אותו בחזרה.
הבעיה היא ששני רכיבי הניקוי בליבת WordPress קוראים את אותו טקסט בצורה אחרת. הפער הזה מאפשר לקוד של התוקף להגיע לדף. משם הוא רץ בהקשר של האתר, כמו קוד לגיטימי.
הרצת קוד על השרת דורשת עוד צעד. מנהל אתר שנכנס לחשבונו צריך לבקר בדף שהתוקף הכין ולבצע בו פעולה. אז הסקריפט פועל בהרשאות של המנהל. לפי Cyber Security News, הוא יכול ליצור סיסמת אפליקציה, לפרסם דף ולהעלות תוסף עם קוד זדוני.
המשמעות היא שהחולשה לבדה לא מספיקה כדי לפרוץ לאתר. אבל מנהלי אתרים מקבלים קישורים מלקוחות, מספקים ומעובדים כל הזמן. קל לשלוח להם קישור שנראה תמים.
11 התיקונים האחרים ב-WordPress 7.0.3
לפי ההודעה ב-WordPress.org, הגרסה סוגרת 12 חולשות. חמש מהן הן XSS: זו של דף הכניסה, ועוד ארבע שדורשות הרשאת Contributor ומעלה. הארבע מופיעות בהגדרות האימוג׳י, בבלוק Post Content, בעריכה המהירה ובבלוק Post Date.
ברשתות Multisite שבהן ההרשמה פתוחה, משתמש יכול היה ליצור אתר חדש. תיקון נוסף סוגר חשיפות מידע: תגובות בפוסטים מוגני סיסמה, מניית כתובות של פוסטים ופיד התגובות. חוקרים של Anthropic דיווחו על עקיפה של מסנן ה-CSS הבטוח, בהרשאת Author ומעלה.
הגרסה סוגרת גם עקיפה של אישור המייל וחולשת SSRF. ב-SSRF השרת מבצע בקשות לכתובות פנימיות, והבדיקה של WordPress איפשרה בקשות לטווחי link-local.
מתי התגלתה XSS2Shell, ומה ידוע על ניצול
לפי pwn.ai, החוקרים גילו את XSS2Shell ב-26 ביולי 2026 ודיווחו עליה ל-WordPress ב-27 ביולי. WordPress אישרה את הסיכון באותו יום. התיקון יצא ב-6 באוגוסט, והפרסום המתואם התקיים ב-7 באוגוסט.
לפי Cyber Security News, נכון ל-7 באוגוסט לא היה סימן לניצול בפועל. היא מציינת גם ציון CVSS של 8.9. הדף שנפגע פתוח לכל אחד, ולכן אין סיבה לחכות.
WordPress מעבירה את התיקונים לכל הענפים שעדיין מקבלים עדכוני אבטחה, נכון ל-6 באוגוסט עד גרסה 4.7. רק הגרסה האחרונה נתמכת באופן פעיל. אתרים שמוגדרים לעדכון אוטומטי ברקע יתעדכנו בעצמם.
מה זה אומר עבורכם
- עדכנו את האתר: בלוח הבקרה, תחת ״עדכונים״, לחצו ״עדכן עכשיו״. ודאו שהגרסה היא 7.0.3 ומעלה, או התיקון המתאים לענף שלכם.
- אל תניחו שהעדכון האוטומטי עבד: pwn.ai מזכירה שבחלק מהאתרים הוא כבוי. אם חברת אחסון או סוכנות מנהלות את האתר, בקשו מהן אישור בכתב.
- עברו על המנהלים: חפשו משתמשים חדשים והרשאות חריגות. pwn.ai ממליצה גם לבדוק את סיסמאות האפליקציה של כל מנהל ולבטל כאלה שאתם לא מכירים.
- חפשו שינויים חשודים: דפים או תוספים חדשים שלא יצרתם. לפי pwn.ai, ההדגמה שלה מנקה אחריה, ולכן כדאי להשוות את הקבצים לעותק תקין.
- הפרידו בין עבודה לניהול: עבדו ביומיום בהרשאת עורך, והתחברו כמנהל רק לתחזוקה. כך קישור זדוני פוגש חשבון בלי הרשאות מנהל.
מה הלאה
WordPress מפיצה את התיקונים לענפים הישנים לפי מוכנותם, ולכן אתרים על גרסאות ישנות יקבלו אותם בהדרגה. מי שמחזיק אתר על גרסה ישנה ללא תמיכה צריך לתכנן שדרוג.
מה קרה מאז: ב-12 באוגוסט שחררה WordPress את גרסה 7.0.4. זה עדכון אבטחה נוסף, שסוגר הרצת קוד דרך העלאת קבצים בידי משתמש בהרשאת Author, באתרים עם Imagick ו-Ghostscript (CVE-2026-65640).
מקורות והרחבה
- WordPress 7.0.3 ReleaseWordPress.org
- XSS2Shell: WordPress Pre-Auth XSS to RCE Chain (CVE-2026-64638)pwn.ai
- WordPress XSS2Shell Vulnerability Chains Pre-Auth Login XSS to PHP Remote Code ExecutionCyber Security News
- WordPress 7.0.4 ReleaseWordPress.org
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
