WordPress-ийн эмзэг байдал CVE-2026-119977: Шинэчлэлтийн үеэр сайтууд хакердуулсан ба өөрийгөө хэрхэн хамгаалах вэ

2026 оны 10-р сарын сүүлээр WordPress шинэчлэх механизмд CVE-2026-119977 гэсэн эмзэг байдал илэрсэн . Энэ нь нэвтрэх болон нууц үггүй халдагч сервер дээр дурын кодыг ажиллуулах боломжийг олгодог бөгөөд зөвхөн сайт шинэчлэгдэж байх үед л боломжтой. Эмзэг байдлыг бодит халдлагад аль хэдийн ашиглаж байна.

Доорх нь хэрхэн ажилладаг, хэн өртөж байгаа, сайтаа хамгаалахын тулд юу хийх ёстойг харуулав.

Товчхондоо эмзэг байдал

• Энэ юу вэ: WordPress цөм шинэчлэлтийн бүрэн процесс дахь уралдааны нөхцөл (TOCTOU класс).
• Хүнд байдал: CVSS 8.1 (Өндөр).
• Нөлөөлөлд өртсөн хувилбарууд: WordPress 4.7-оос 7.1.3 хүртэлх хувилбарууд.
• Халдагч юу хэрэгтэй вэ: Сайт руу зөвхөн HTTP хандалт хийх боломжтой. Баталгаажуулалт болон админы үйлдэл шаардлагагүй.
• Ашиглалт: 2026 оны 11-р сарын 3-нд CISA нь мэдэгдэж буй ашиглагдаж буй эмзэг байдлын (KEV) каталогтоо уг эмзэг байдлыг нэмж оруулсан. Wordfence нь дэлгэрэнгүй мэдээлэл ил болсноос хойш эхний 21 цагийн дотор эмзэг замууд руу чиглэсэн 18,500 гаруй хүсэлтийг бүртгэсэн.

Довтолгоо хэрхэн ажилладаг

Бүрэн цөм шинэчлэлтийн үеэр WordPress дараах зүйлсийг хийдэг:

1. Архивыг шинэ хувилбартай хамт татаж авна.
2. Үүнийг доторх түр хавтас руу хуулж авна wp-content/upgrade/.
3. Файлуудыг шууд сайтаар хуулдаг.
4. Түр зуурын хавтсыг устгана.

Асуудал нь түр зуурын хавтас нь дараах байршилд байрладагт оршино. урьдчилан таамаглах боломжтой зам мөн байна хөтөчөөс хандах боломжтойДотор нь WordPress-ийн бүрэн хуулбар байгаа бөгөөд үүнд ... багтсан болно. setup-config.php суулгагч.

Шинэчлэлт ажиллаж байх үед халдагч энэ суулгагчийг нээж, түүгээр дамжин өнгөрч болно. Үүний үр дүнд тэд амьд файлыг сольж болно wp-config.php мөн сайтыг өөрийн хоосон мэдээллийн сан руу чиглүүлдэг. Дараа нь WordPress нь "суулгалт"-ыг санал болгодог - халдагч үүнийг дуусгаж, администратор болж, сервер дээр өөрийн PHP кодыг ажиллуулдаг.

Довтолгооны цонх нь шинэчлэлт хийхэд шаардагдах хэдэн секунд юм. Энэ нь дайралтыг практик дээр хийхэд хэцүү болгодог боловч масс сканнерууд эмзэг замыг байнга шалгаж, яг тэр хугацааг тооцоолж байдаг.

7.1.4 хувилбар нь түр зуурын хавтасны нэрийг санамсаргүй байдлаар сонгож, шууд хандалтаас хамгаалалт нэмж, тохиргоог түр зуурын хуулбараас шилжүүлэхийг хориглодог.

Цагийн хуваарь

Засварласан хувилбарууд

Засварыг 4.7 хувилбар хүртэл дэмжигдсэн бүх салбар руу буцааж байршуулсан. Хамгийн сүүлийн хувилбар болох 7.1.4 руу шинэчлэхийг зөвлөж байна.

4.6 болон түүнээс өмнөх хувилбарууд засварлагдаагүй. Эдгээр сайтуудыг одоогийн хувилбар руу шинэчлэх эсвэл үйлчилгээнээс хасах шаардлагатай.

Алхам 1. WordPress хувилбараа шалгана уу

Админ самбарт: Хяналтын самбар → Шинэчлэлтүүд . Автомат шинэчлэлтүүдэд найдаж болохгүй - тэдгээр нь ажиллахгүй байж магадгүй: идэвхгүй болсон, файлын зөвшөөрлөөс болж ажиллахаа больсон эсвэл залгаасаар дарагдсан байж болзошгүй.

WP-CLI-тэй хамт:

wp core version

Хэрэв та сервер дээр хэд хэдэн сайттай бол WordPress суулгац болон түүний хувилбар бүрийг дараах байдлаар олж болно:

find /var/www -path '*/wp-includes/version.php' -exec grep -H "wp_version =" {} \;

Сэлгэх /var/www таны сайтууд байрладаг лавлахтай хамт.

Алхам 2. wp-content/upgrade/ руу хандах эрхийг хаах (VPS болон тусгай серверүүдийн хувьд)

Энэ бол хамгийн чухал хэмжүүр юм. Энэ нь таны WordPress хувилбараас үл хамааран халдлагын цонхыг хаадаг бөгөөд шинэчлэлтүүдэд саад болдоггүй: WordPress нь энэ хавтастай вэбээр биш, харин файлын системээр дамжуулан ажилладаг. Халдлага нь шинэчлэлтийн үеэр яг тохиолддог тул шинэчлэхээс өмнө үүнийг хий.

nginx

Үүнийг өөрийн сайтад нэмнэ үү server блок:

location ^~ /wp-content/upgrade/ {
    deny all;
}

Тохиргоог шалгаад nginx-г дахин ачаална уу:

nginx -t && systemctl reload nginx

Apache болон LiteSpeed

Үүнийг нэмнэ үү .htaccess сайтын үндсэн хэсэгт байгаа файл, дээрх стандарт # BEGIN WordPress блок:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>

Хэрэв та Apache виртуал хостын тохиргоонд хандах эрхтэй бол тэнд байгаа санг хаах нь илүү найдвартай байдаг:

<Directory "/var/www/example.com/wp-content/upgrade">
    Require all denied
</Directory>

Өөрийн замыг оруулаад Apache-г дахин ачаална уу:

apachectl configtest && systemctl reload apache2

AlmaLinux, Rocky болон бусад RHEL дээр суурилсан системүүд дээр уг үйлчилгээг ... гэж нэрлэдэг. httpd.

Блок ажиллаж байгаа эсэхийг шалгана уу

curl -I https://example.com/wp-content/upgrade/

Хариулт нь кодыг буцаах ёстой 403.

Алхам 3. Нөөц хуулбар хийх

Шинэчлэхийн өмнө сайтын файлууд болон мэдээллийн санг нөөцөл. WP-CLI ашиглан:

wp db export ~/backup-$(date +%F).sql
tar -czf ~/site-files-$(date +%F).tar.gz -C /var/www/example.com .

Хэрэв танд VPS байгаа бол удирдлагын самбар дээр серверийн агшин зургийг авах боломжтой.

Алхам 4. WordPress-ийг шинэчлэх

Админ самбар эсвэл WP-CLI-ээр дамжуулан

Хэрэв та хандалтыг хаасан бол wp-content/upgrade/ (2-р алхам), ердийнхөөрөө шинэчлээрэй — админ самбараас эсвэл WP-CLI ашиглан:

wp core update
wp core update-db
wp core version

Сүүлийн тушаал нь таны салбарын 7.1.4 эсвэл тогтмол хувилбарыг харуулах ёстой.

Гараар, халдлагын цонхгүйгээр

Хэрэв та вэб серверийн түвшинд лавлах руу хандах эрхийг хааж чадахгүй бол (жишээлбэл, та түүний тохиргоонд хандах эрхгүй) гараар шинэчлэх нь илүү аюулгүй. Архивыг сайтын үндсэн хэсгээс гадуур гаргаж авдаг бөгөөд файлуудыг хүрэлгүйгээр хуулна. wp-config.php or wp-content:

cd /tmp
wget https://wordpress.org/latest.tar.gz
tar -xzf latest.tar.gz
rsync -a --exclude 'wp-content' --exclude 'wp-config.php' /tmp/wordpress/ /var/www/example.com/
rm -rf /tmp/wordpress /tmp/latest.tar.gz

Дараа нь файлын эзэмшлийг сэргээнэ үү (жишээ нь, вэб серверийн хэрэглэгч өөр байж болно) nginx or apache) мөн мэдээллийн санг шинэчлэх:

chown -R www-data:www-data /var/www/example.com
wp core update-db

Сүүлийн командын оронд та нээж болно https://example.com/wp-admin/upgrade.php таны хөтөч дээр

Залгаас болон сэдвүүдийг бүү мартаарай

wp plugin update --all
wp theme update --all

Алхам 5. Буулт хийх шинж тэмдэг байгаа эсэхийг сайтаасаа шалгана уу

Хэрэв таны сайт 10-р сарын 28-ны дараа эмзэг хувилбараас шинэчлэгдсэн бол хэн ч халдлагыг ашиглаагүй эсэхийг шалгаарай.

Лог дахь түр суулгагчдад өгөх хүсэлтүүд:

# nginx
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*

# Apache
grep -E "wp-content/upgrade/.*\.php" /var/log/apache2/access.log*

Хүсэлтүүд 200 Хариу код нь ялангуяа сэжигтэй байдаг.

wp-config.php файлыг сольсон: файлын өөрчлөлтийн огноо болон мэдээллийн сангийн холболтын тохиргоог шалгана уу.

ls -l /var/www/example.com/wp-config.php
grep -E "DB_(NAME|USER|HOST)" /var/www/example.com/wp-config.php

Гол файлын бүрэн бүтэн байдал:

wp core verify-checksums

Танихгүй PHP файлууд болон админууд:

find /var/www/example.com/wp-content/upgrade /var/www/example.com/wp-content/uploads -name "*.php"
find /var/www/example.com -name "*.php" -mtime -10
wp user list --role=administrator

Хэрэв та солигдсоныг олвол wp-config.php, танил бус админууд эсвэл гэнэтийн PHP файлууд, сайтыг эвдэрсэн гэж үзэх. 10-р сарын 28-наас өмнө хийсэн нөөцлөлтөөс сэргээж, WordPress-ийг шинэчилж, бүх нууц үгийг өөрчлөх: админ, мэдээллийн сан, FTP болон SSH.

Хэрэв гэрээт гүйцэтгэгч танай талбайг арчилж тордвол

Энэ нийтлэлийг тэдэнд дамжуулж, сайтыг засварласан хувилбарт шинэчилж, эвдэрсэн шинж тэмдэг байгаа эсэхийг шалгасан эсэхийг баталгаажуулахыг хүс.

Тусламж хэрэгтэй?

Та үүнийг өөрөө зохицуулж чадах эсэхээ мэдэхгүй байна уу эсвэл сэжигтэй файлууд олсон уу? Манай дэмжлэгийн багтай холбогдоно уу — бид танд үүнийг шийдвэрлэхэд туслах болно.