WordPress Core: hitelesítés nélküli távoli kódfuttatás a törzsfrissítések során (CVE-2026-119977)

Mi történt

A WordPress Core 4.7-től 7.1.3-ig terjedő verziói távoli kódfuttatási hibát tartalmaznak. A teljes csomagot érintő törzsfrissítés során a frissítő kiszámítható, a weben elérhető átmeneti elérési útvonalakat hoz létre. A webhelyet a hálózaton keresztül elérő, hitelesítés nélküli támadó ezeket az útvonalakat a frissítési időablak alatt arra használhatja, hogy kódot futtasson a szerveren. A kihasználáshoz nincs szükség jogosultságokra vagy felhasználói interakcióra, a támadás bonyolultsága azonban magas, mert a sebezhető időablak rövid. A CVSS 3.1 szerinti pontszám 8,1, ami magas besorolást jelent: hálózati támadási vektor, magas támadási bonyolultság, nincs szükség jogosultságra, nincs felhasználói interakció, a hatókör változatlan, és a bizalmasságra, a sértetlenségre, valamint a rendelkezésre állásra gyakorolt hatás egyaránt magas.

A CVE-rekord nem számol be kihasználásról vagy nyilvános közzétételről.

Kit érint

A CVE-cím és -leírás szerint a WordPress Core 4.7-től 7.1.3-ig terjedő verziói érintettek. A CVE-rekord érintett verziókat felsoroló listája a következő kiadási ágakat tartalmazza: 4.7.0-tól 4.7.38-ig, 4.8.0-tól 4.8.33-ig, 4.9.0-tól 4.9.34-ig, 5.0.0-tól 5.0.30-ig, 5.1.0-tól 5.1.27-ig, 5.2.0-tól 5.2.29-ig, 5.3.0-tól 5.3.26-ig, valamint 5.4.0-tól 5.4.24-ig. A lista nem sorol fel 5.4.24-nél újabb kiadásokat, noha a cím és a leírás 7.1.3-ra helyezi a felső határt. A WordPress jellemzően nyilvános webes felületű, az internetről elérhető rendszer, ezért minden ilyen verziót futtató webhelyet érdemes felülvizsgálni.

Mit kell most tenni

1. Azonosítsa az összes olyan WordPress Core-telepítést, amely 4.7-től 7.1.3-ig terjedő verziót futtat.
2. A CVE-rekord nem sorol fel javított verziót, és kerülő megoldást sem ad meg. Ne tekintsen egyetlen kiadást sem megerősített javításnak anélkül, hogy ellenőrizné az ezen az oldalon hivatkozott WordPress kiadási információkat és Trac bejegyzéseket.
3. Korlátozza a WordPress-telepítésnek és a törzsfrissítések során használt átmeneti útvonalaknak a hálózati hozzáférését. Ne tegye a frissítési folyamatot nyilvánosan elérhetővé az interneten.
4. Ha a teljes csomagot érintő törzsfrissítés nem kerülhető el, karbantartási időablakban futtassa, és az időablak teljes időtartama alatt kísérje figyelemmel a szervert és a hozzáférési naplókat.

Hogyan észlelhető

A CVE-rekord nem ad meg konkrét, kompromittálódásra utaló jeleket. Bármely törzsfrissítés során vizsgálja át a hozzáférési naplókat a fent leírt kiszámítható átmeneti útvonalakra érkező kérések szempontjából, és amíg a frissítési időablak nyitva van, figyeljen a webgyökérben megjelenő váratlan fájlmódosításokra vagy folyamatokra.

A javításon túl

A nyilvános WordPress-webhelyek az internetről elérhető platformok, és ez a hiba a törzsfrissítési folyamatban található, nem pedig egy bővítményben. Bevezetési és felmérési szolgáltatásaink segítségével átvizsgáltathatja a WordPress-telepítést a kiszámítható átmeneti útvonalak és a frissítési folyamatok biztonsága szempontjából, míg a Menedzselt kiberbiztonsági felügyelet észleli a kódfuttatást és a támadó további tevékenységét, ha egy frissítési időablakkal visszaélnek.