WordPress 7.0.4: עדכון אבטחה שני בתוך שבוע, הפעם נגד השתלטות דרך העלאת קבצים
WordPress שחררה ב-12 באוגוסט את גרסה 7.0.4, שסוגרת חולשה שמאפשרת לבעל חשבון כותב להריץ קוד על השרת. זה קרה שישה ימים אחרי 7.0.3, שסגרה 12 חולשות, ובהן XSS2Shell בדף הכניסה.
TL;DR בקצרה
- WordPress 7.0.4 סוגרת את CVE-2026-65640: הרצת קוד מרחוק דרך העלאת קובץ זדוני, באתרים שמשתמשים ב-Imagick וב-Ghostscript.
- התוקף צריך חשבון בהרשאת Author ומעלה. צוות pwn.ai גילה את החולשה.
- ב-6 באוגוסט יצאה 7.0.3 עם 12 תיקוני אבטחה, ובהם XSS2Shell בדף הכניסה (CVE-2026-64638).
- התיקונים עוברים גם לענפים ישנים עד 4.7, ואתרים עם עדכון אוטומטי מתעדכנים לבד.
WordPress שחררה ב-12 באוגוסט את גרסה 7.0.4, עדכון אבטחה שסוגר חולשה של הרצת קוד מרחוק. החולשה מאפשרת למשתמש בהרשאת Author, הרשאת הכותבים באתר, להשתלט על השרת. הדרך: העלאה של קבצים זדוניים. זה עדכון האבטחה השני של WordPress בתוך שישה ימים. אם האתר שלכם לא מתעדכן אוטומטית, זה הזמן לבדוק.
מה סוגרת WordPress 7.0.4
החולשה, CVE-2026-65640, פוגעת באתרים שהשרת שלהם מעבד קבצים בעזרת Imagick ו-Ghostscript. Imagick הוא תוסף PHP לעיבוד תמונות. Ghostscript הוא כלי לעיבוד קובצי PDF ו-PostScript. לפי GBHackers, התוקף בונה במיוחד את הקובץ הזדוני ומעלה אותו לאתר. השרשרת שמעבדת אותו מאפשרת לו לגרום ל-Ghostscript להריץ פקודות על שרת האינטרנט.
התנאי הוא חשבון בהרשאת Author ומעלה. על פניו זה מחסום. אבל חשבונות של כותבים נופלים לא פעם בפישינג או בסיסמאות ממוחזרות. אתרים עם כמה כותבים, פרילנסרים או סוכנות שיווק חשופים במיוחד. מי שמשתלט על חשבון כזה יכול להשתיל קוד, לגנוב נתונים ולהשאיר דלת אחורית.
צוות המחקר pwn.ai דיווח על החולשה. ההודעה של WordPress מציינת שהתיקונים עוברים לכל הענפים הנתמכים, עד גרסה 4.7. הם נכנסו גם ל-WordPress 7.1 RC3, גרסת הניסיון של המהדורה הבאה.
WordPress 7.0.4 ועיבוד קבצים בשרת
למה דווקא העלאת קבצים? כשמעלים מסמך או תמונה, WordPress לא מסתפקת באחסון שלהם. היא גם מעבדת אותם, למשל כדי ליצור תמונות ממוזערות. באתרים עם Imagick ו-Ghostscript, WordPress מפעילה לשם כך כלים חיצוניים בשרת. PostScript, אחד הפורמטים ש-Ghostscript מטפל בהם, היא בעצם שפת תכנות. לכן תוקף שבונה את הקובץ בקפידה יכול לגרום לשרת לבצע פקודות.
הנקודה החשובה לבעלי אתרים: הסיכון תלוי בשרת, לא רק בגרסת WordPress. שני אתרים זהים יכולים להיות במצב אחר לגמרי, לפי ההגדרות של חברת האחסון.
העדכון הגיע שישה ימים אחרי גרסה 7.0.3, שיצאה ב-6 באוגוסט וסגרה 12 חולשות. הבולטת שבהן, XSS2Shell, היא חולשת XSS בדף הכניסה. גם אותה גילה צוות pwn.ai. מי שמעדכן ל-7.0.4 מקבל גם את התיקונים של 7.0.3.
המקור המלא: הדיווח ב-WordPress.org.
מה זה אומר עבורכם
- בדקו את הגרסה: בלוח הבקרה, תחת ״עדכונים״, ודאו שהאתר על 7.0.4 ומעלה. אם לא, לחצו ״עדכן עכשיו״.
- בדקו אם אתם בסיכון: ב״בריאות האתר״, בלשונית המידע, פתחו את החלק של טיפול במדיה. שם תראו אם Imagick ו-Ghostscript פעילים בשרת.
- שקלו לנטרל את מה שלא צריך: האתר לא משתמש בתצוגה מקדימה של קובצי PDF? שאלו את חברת האחסון אם אפשר לכבות את Ghostscript בשרת.
- צמצמו כותבים: עברו על רשימת המשתמשים. מחקו חשבונות לא פעילים והורידו הרשאות למי שלא צריך אותן.
- אימות דו-שלבי: הפעילו אותו לכל בעלי ההרשאות, לא רק למנהלים. כך גם סיסמה גנובה של אחד הכותבים לא תספיק לתוקף.
- חפשו סימנים: קובצי PHP חדשים בתיקיות התוספים וערכות העיצוב. בדקו גם אם הופיעו מנהלים שאתם לא מכירים.
מה הלאה
שני עדכוני אבטחה בשבוע אחד הם תזכורת חשובה. עדכון אוטומטי של ליבת WordPress הוא לא מותרות. מנהלים כמה אתרים? ודאו שכל אחד מהם באמת מקבל את העדכונים. בדקו זאת גם מול חברת האחסון.
מה קרה מאז: ב-19 באוגוסט שחררה WordPress את גרסה 7.1, המהדורה הראשית הבאה.
מקורות והרחבה
- WordPress 7.0.4 ReleaseWordPress.org
- WordPress 7.0.3 releaseWordPress.org
- WordPress RCE vulnerabilityGBHackers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
