WordPress 7.1.4: תוקפים כבר מחפשים את הפרצה שנפתחת בדיוק בזמן עדכון האתר
גרסת האבטחה WordPress 7.1.4 סוגרת 22 חולשות, ובהן פרצה שמאפשרת להריץ קוד בזמן העדכון עצמו. לפי Wordfence, ניסיונות ניצול החלו שעות אחרי הפרסום.
TL;DR בקצרה
- WordPress 7.1.4 יצאה ב-28.10 וסוגרת 22 חולשות ב-17 הודעות אבטחה
- החמורה שבהן: חלון של שניות בזמן עדכון שבו אפשר להריץ קוד בלי משתמש
- Wordfence ספרה יותר מ-18,500 בקשות זדוניות ב-21 השעות הראשונות, בלי פריצה מוצלחת
- יש עדכונים מקבילים לכל הענפים עד 4.7, אתרים על 4.6 ומטה נשארים חשופים
מנהלי אתרים, בדקו את לוח הבקרה. WordPress 7.1.4, שיצאה ב-28 באוקטובר, סוגרת פרצה שמאפשרת להריץ קוד על השרת בזמן שהאתר מתעדכן. לפי חברת האבטחה Wordfence, תוקפים התחילו לחפש אותה שעות ספורות אחרי הפרסום. הגרסה סוגרת גם עוד 21 חולשות.
הפרצה ב-WordPress 7.1.4 שנפתחת דווקא בזמן העדכון
רוב החולשות ב-WordPress דורשות משתמש רשום באתר. הפעם החולשה המרכזית לא דורשת חשבון בכלל. היא קשורה לתיקייה הזמנית שאליה המערכת פורסת את קבצי הגרסה החדשה בזמן עדכון מלא.
לפי הניתוח של Patchstack, מדובר בתיקייה wp-content/upgrade/, ועד היום היה לה שם צפוי. בנוסף, תהליך הניקוי מחק את הקובץ שמונע הצגת רשימת קבצים בתיקייה. התוצאה: מי שפונה לנתיב הנכון בשניות שבהן העדכון רץ, יכול להפעיל את קבצי ההתקנה הזמניים.
זו לא התקפה פשוטה. צריך לפגוע בחלון של שניות, ובשרתים מסוימים התיקייה בכלל לא נגישה מהרשת. אבל החלון נפתח מחדש בכל עדכון, כולל עדכונים אוטומטיים שרצים בלילה.
18,500 ניסיונות ב-21 שעות
איך התוקפים יודעים מתי אתר מתעדכן? הם לא יודעים. הם פשוט מנחשים את שם התיקייה ושולחים בקשות לאלפי אתרים, שוב ושוב. אצל רוב האתרים הבקשה נכשלת. אבל מספיק אתר אחד שמתעדכן באותה שנייה בדיוק.
הנתונים מגיעים מ-Wordfence, דרך SecurityWeek. החוק החדש בחומת האש שלה תפס בקשה זדונית תשע דקות אחרי שהופעל. ב-21 השעות הראשונות היא ספרה מעל 18,500 בקשות לנתיבי ההתקנה הזמניים.
חשוב לדייק: Wordfence לא דיווחה על אף אתר שנפרץ בפועל. גם לחולשה עדיין אין מספר CVE, כלומר מזהה בינלאומי לחולשות. ובכל זאת, סריקה בהיקף כזה מראה שהתוקפים לא מחכים לפרטים מלאים.
מה עוד סוגרת WordPress 7.1.4, ומה עם גרסאות ישנות
ההודעה הרשמית ב-WordPress.org מפרטת את חולשת העדכון, שדווחה על ידי החוקר Umut Bayram. לצידה יש שורה של חולשות XSS, כלומר הזרקת קוד לדף, בבלוקים, ב-Customizer וב-Interactivity API. שתיים מהן דווחו על ידי Anthropic. הגרסה סוגרת גם חשיפה של שינויי Customizer שלא פורסמו, שכל גולש יכול היה לראות.
הגרסה מעדכנת גם את תעודות השורש המובנות, בעקבות ביטול התעודות של eMudhra. עבור רוב חולשות ה-XSS התוקף צריך הרשאת Contributor ומעלה. לכן אתרים עם הרבה כותבים חיצוניים חשופים במיוחד.
הצוות העביר את התיקונים לכל הענפים הנתמכים, עד גרסה 4.7.39. בין היתר יצאו 7.0.8, 6.9.11 ו-6.8.12. אתרים על 4.6 ומטה לא יקבלו תיקון. WordPress מציינת שחלק מהעדכונים לענפים הישנים עוד בדרך.
מה זה אומר עבורכם
- היכנסו לעמוד העדכונים בלוח הבקרה. ודאו שהאתר על 7.1.4, או על הגרסה המקבילה בענף שלכם.
- אם העדכונים האוטומטיים כבויים אצלכם, עדכנו ידנית עוד היום. גבו את האתר לפני כן.
- בקשו מחברת האחסון לחסום גישה מהרשת לתיקייה
wp-content/upgrade/. לפי Patchstack, תוסף אבטחה רגיל לא יכול לחסום את הבקשה הזו. - בדקו שהתיקייה הזו ריקה בין עדכונים, חוץ מ-index.php אחד.
- עברו על רשימת המשתמשים עם הרשאת Contributor ומעלה, והסירו את מי שכבר לא צריך גישה.
מה הלאה
חולשה בתהליך העדכון היא מקרה מעניין. העצה הרגילה היא לעדכן מהר, והפעם דווקא רגע העדכון יצר את הסיכון. זה לא אומר שצריך לדחות עדכונים. ההפך: אחרי ההתקנה של 7.1.4 החלון הזה נסגר, ושם התיקייה הופך לאקראי. מי שנשאר על הגרסה הישנה נשאר חשוף בכל פעם שליבת המערכת מתעדכנת בחבילה מלאה.
זה עוד עדכון אבטחה בסדרה ארוכה של 2026, וכל אחד מהם הופך מהר למטרה. מי שמנהל כמה אתרים ללקוחות צריך תהליך קבוע של עדכון ובדיקה, ולא תגובה לכל כותרת. גרסת WordPress 7.2 מתוכננת ל-8 בדצמבר, וכבר כוללת את כל התיקונים האלה.
מקורות והרחבה
- WordPress 7.1.4 Security ReleaseWordPress.org
- Fresh WordPress Vulnerability in Attackers' CrosshairsSecurityWeek
- WordPress 7.1.4 Security ReleasePatchstack
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
