Nyílt forráskódú üzleti platformok, 2026. 39. hét: kihasznált WordPress-hiba a 17 sérülékenység között

A kiadás röviden

A GLPI, a Frappe/ERPNext, a WordPress és a Nextcloud karbantartói a 2026. 39. héten (2026. szeptember 21–27.) 17 sérülékenységet tettek közzé: 16 CVE-azonosítót és egy CVE-azonosító nélküli biztonsági közleményt. A GLPI-hez 13 bejegyzés tartozik, a Frappe/ERPNexthez kettő, a WordPresshez egy, a Nextcloudhoz pedig egy. Súlyosságukat tekintve egy kritikus, nyolc magas és nyolc közepes besorolású sérülékenység szerepel.

Egy sérülékenységet aktívan kihasználnak: a WordPress CVE-2026-87902 jelű hibáját, amely szerepel a CISA KEV listáján és az ENISA EUVD adatbázisában, és amely esetében 2026. szeptember 23. óta kihasználást jeleznek. A hiba lehetővé teszi, hogy egy hitelesítést nem igénylő támadó befolyásolja az oldalsablon feloldását, így az aktív témán kívüli, olvasható helyi .php fájl is beillesztésre kerüljön; megfelelő szerver- és téma-előfeltételek esetén távoli kódfuttatás lehetséges. A fennmaradó problémákról nem érkezett jelentés aktív kihasználásról, de köztük kritikus és magas súlyosságú távoli kódfuttatási hibák, fájltörlés, SQL-injekció és a GLPI hitelesítési problémái is szerepelnek.

A legfontosabbak

WordPress: a CVE-2026-87902 (CVSS 3.1: 8,1) az egyetlen olyan sérülékenység az e heti összeállításban, amelyről ismert, hogy aktívan kihasználják. Egy hitelesítést nem igénylő támadó el tudja érni, hogy a get_page_template() függvény az aktív témakönyvtárakon kívüli, választott, olvasható helyi .php fájlt illesszen be; megfelelő szerver- és téma-előfeltételek mellett ez távoli kódfuttatást eredményez. Frissítsen a WordPress 7.1.2-es verzióra vagy a biztonsági közleményben felsorolt, visszaportolt javított kiadások valamelyikére.

GLPI: a legsúlyosabb GLPI-probléma a CVE-2026-48482 (CVSS 4.0: 9,4), egy kritikus űrlapimport-hiba. Az űrlap-adminisztrátor egy speciálisan kialakított illusztráció- vagy jelenet-azonosítóval az egyedi eszközöknek szánt könyvtárból kilépve fájlt írhat egy futtatható szerverhelyre, majd távolról meghívhatja azt. Javítva a 11.0.8-as verzióban.

A CVE-2026-47679 (CVSS 4.0: 8,5) révén bármely bejelentkezett felhasználó kérheti egy támadó által kiválasztott szerverfájl törlését a profilkép-frissítési folyamaton keresztül; javítva a 10.0.26-os és a 11.0.8-as verzióban.

A CVE-2026-53629 (CVSS 4.0: 7,1) SQL-injekció az előzmények lapon, amelyet az a felhasználó érhet el, aki a naplókra vonatkozó READ jogosultsággal rendelkezik; javítva a 10.0.26-os és a 11.0.8-as verzióban.

A CVE-2026-53625 (CVSS 4.0: 7,5) lehetővé teszi, hogy egy technikus az API-n keresztül megváltoztassa egy másik felhasználó hitelesítési módját, ami örökölt API REST- vagy SSO-konfigurációk esetén akár fiókátvételt is lehetővé tehet; javítva a 10.0.26-os és a 11.0.8-as verzióban.

A CVE-2026-49470 (CVSS 4.0: 7,7) nem alkalmaz sebességkorlátozást a TOTP-hitelesítés ellenőrzése során, ami lehetővé teszi a második faktor brute force módszerrel történő feltörését; javítva a 11.0.8-as verzióban.

Nextcloud: a CVE-2026-77165 (CVSS 3.0: 6,5) miatt a TYPE_TOKEN típusú zárakat a fájlok tulajdonosai nem tudják eltávolítani, és az adatbázison kívül nincs lehetőség a helyreállításra. Javított verziót vagy kerülő megoldást nem tüntettek fel.

Javítási sorrend

1. Frissítsen a WordPress 7.1.2-es verzióra vagy a biztonsági közleményben felsorolt, visszaportolt javított kiadások valamelyikére, hogy kezelje a kihasznált CVE-2026-87902 jelű hibát. A CISA KEV-listáján megadott határidő 2026. szeptember 28. Ez az egyetlen olyan sérülékenység az e heti összeállításban, amelyről ismert, hogy aktívan kihasználják.
2. Frissítse a GLPI 11.0.0-tól a 11.0.8-nál korábbi verziójú telepítéseit a 11.0.8-as verzióra, hogy megszüntesse a CVE-2026-48482 jelű, kritikus, űrlapimportból adódó távoli kódfuttatási hibát.
3. A 10.0.0-tól a 10.0.26-nál korábbi, illetve a 11.0.0-tól a 11.0.8-nál korábbi GLPI-verziók esetén frissítsen a 10.0.26-os, illetve a 11.0.8-as verzióra a CVE-2026-47679, a CVE-2026-53629, a CVE-2026-53625 és a CVE-2026-53628 kezeléséhez.
4. Frissítse a GLPI-t a 11.0.8-as verzióra a CVE-2026-55214, a CVE-2026-53610, a CVE-2026-53626, a CVE-2026-53627 és a CVE-2026-49470 kezelése érdekében.
5. A Nextcloud Server CVE-2026-77165 jelű hibájához nem tüntettek fel javított verziót, és kerülő megoldást sem adtak meg. Ellenőrizze, hogy az Ön verziója a 32.0.0 és a 34.0.0 közötti tartományba esik-e, és kísérje figyelemmel, mikor jelenik meg a javítás.
6. Tekintse át a fennmaradó, közepes súlyosságú biztonsági közleményeket: a Frappe Framework GHSA-hxfh-hh23-fvch (6,1), az ERPNext CVE-2026-96672 (5,3), valamint a GLPI CVE-2026-45801, CVE-2026-55217 és CVE-2026-49469 jelű hibáit. Ezek nem szerepelnek a CISA KEV listáján, és aktív kihasználásukról nem érkezett jelentés.

A javításon túl

Mivel a CVE-2026-87902 jelű hibát aktívan kihasználják, a Menedzselt kiberbiztonsági felügyelet (MDR) biztosítja az észlelés és a válaszlépések első vonalát a nyilvános WordPress-példányok számára. A WordPress-hiba hitelesítő adatok nélkül, a hálózaton keresztül elérhető, ezért a Virtuális CISO szolgáltatás (vCISO) keretében végzett felülvizsgálat segíthet azonosítani a kitett vagy nem javított eszközöket, mielőtt azokat támadás érné.