Vulnerabbiltà ta' WordPress CVE-2026-119977: Siti Hacked Waqt Aġġornamenti u Kif Tipproteġi Tiegħek

Fl-aħħar ta' Ottubru 2026, instabet vulnerabbiltà fil-mekkaniżmu tal-aġġornament ta' WordPress: CVE-2026-119977 . Din tippermetti lil attakkant mingħajr login jew password li jesegwixxi kodiċi arbitrarju fuq is-server — iżda biss waqt li s-sit ikun qed jiġi aġġornat. Il-vulnerabbiltà diġà qed tintuża f'attakki reali.

Hawn taħt kif jaħdem, min hu affettwat u x'għandek tagħmel biex tipproteġi s-sit tiegħek.

Il-vulnerabbiltà fil-qosor

• X'inhu: kundizzjoni ta' kompetizzjoni (klassi TOCTOU) fil-proċess sħiħ ta' aġġornament tal-qalba ta' WordPress.
• Severità: CVSS 8.1 (Għoli).
• Verżjonijiet affettwati: WordPress 4.7 sa 7.1.3 inklużi.
• Dak li jeħtieġ l-attakkant: aċċess HTTP biss għas-sit. L-ebda awtentikazzjoni u l-ebda azzjoni tal-amministratur mhija meħtieġa.
• L-isfruttament: Fit-3 ta' Novembru 2026, CISA żiedet il-vulnerabbiltà mal-katalgu tagħha ta' Vulnerabbiltajiet Sfruttati Magħrufa (KEV). Wordfence irreġistrat aktar minn 18,500 talba għall-mogħdijiet vulnerabbli fl-ewwel 21 siegħa wara li ġew żvelati d-dettalji.

Kif jaħdem l-attakk

Waqt aġġornament sħiħ tal-qalba, WordPress jagħmel dan li ġej:

1. Niżżel l-arkivju bil-verżjoni l-ġdida.
2. Jiġbdu għal fowlder temporanju ġewwa wp-content/upgrade/.
3. Jikkopja l-fajls fuq is-sit ħaj.
4. Iħassar il-fowlder temporanju.

Il-problema hi li l-fowlder temporanju jinsab f' mogħdija prevedibbli u hu aċċessibbli minn browserĠewwa hemm kopja sħiħa ta' WordPress, inkluż setup-config.php installatur.

Waqt li l-aġġornament ikun qed jaħdem, l-attakkant jista' jiftaħ dan l-installatur u jgħaddi minnu. B'riżultat ta' dan, jista' jissostitwixxi l-installatur attiv. wp-config.php u jippuntaw is-sit lejn id-database vojta tagħhom stess. WordPress imbagħad joffri "installazzjoni" — l-attakkant jikkompletaha, isir amministratur u jħaddem il-kodiċi PHP tiegħu stess fuq is-server.

It-tieqa tal-attakk hija l-ftit sekondi li jieħu l-aġġornament. Dan jagħmilha diffiċli biex l-attakk jitwettaq fil-prattika, iżda l-iskanners tal-massa jinvestigaw il-mogħdijiet vulnerabbli kontinwament, billi jistrieħu fuq eżattament dak iż-żmien biex jallinjaw ruħhom.

Il-verżjoni 7.1.4 tagħmel l-isem tal-fowlder temporanju każwali, iżżid il-protezzjoni kontra l-aċċess dirett u timblokka l-konfigurazzjoni milli tinġarr mill-kopja temporanja.

Kronoloġija

Verżjonijiet fissi

Is-soluzzjoni ġiet retroportata għal kull fergħa appoġġjata sa 4.7. Nirrakkomandaw li taġġorna għall-aħħar verżjoni, 7.1.4.

Il-verżjonijiet 4.6 u dawk aktar qodma ma rċevewx soluzzjoni. Dawn is-siti jeħtieġ li jiġu aġġornati għal verżjoni attwali jew jitneħħew mis-servizz.

Pass 1. Iċċekkja l-verżjoni ta' WordPress tiegħek

Fil-pannell tal-amministrazzjoni: Dashboard → Aġġornamenti . Tiddependix fuq aġġornamenti awtomatiċi — jistgħu ma jkunux ħadmu: jistgħu jkunu diżattivati, ifallu minħabba l-permessi tal-fajls jew ikunu ġew megħluba minn plugin.

Bil-WP-CLI:

wp core version

Jekk għandek diversi siti fuq is-server, tista' ssib kull installazzjoni ta' WordPress u l-verżjoni tagħha bħal din:

find /var/www -path '*/wp-includes/version.php' -exec grep -H "wp_version =" {} \;

Ibdel /var/www mad-direttorju fejn jinsabu s-siti tiegħek.

Pass 2. Imblokka l-aċċess għal wp-content/upgrade/ (għal VPS u servers dedikati)

Din hija l-aktar miżura importanti. Tagħlaq it-tieqa tal-attakk irrispettivament mill-verżjoni ta' WordPress tiegħek u ma tinterferixxix mal-aġġornamenti: WordPress jaħdem ma' dan il-folder permezz tas-sistema tal-fajls, mhux fuq il-web. Agħmel dan qabel l-aġġornament, peress li l-attakk iseħħ preċiżament waqt l-aġġornament.

nginx

Żid dan mas-sit tiegħek server blokka:

location ^~ /wp-content/upgrade/ {
    deny all;
}

Ittestja l-konfigurazzjoni u erġa' erġa' installa nginx:

nginx -t && systemctl reload nginx

Apache u LiteSpeed

Żid dan mal- .htaccess fajl fl-għerq tas-sit, hawn fuq l-istandard # BEGIN WordPress blokka:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>

Jekk għandek aċċess għall-konfigurazzjoni tal-host virtwali Apache, huwa aktar affidabbli li timblokka d-direttorju hemmhekk:

<Directory "/var/www/example.com/wp-content/upgrade">
    Require all denied
</Directory>

Ibdel il-mogħdija b'tiegħek u erġa' tella' Apache:

apachectl configtest && systemctl reload apache2

Fuq AlmaLinux, Rocky u sistemi oħra bbażati fuq RHEL, is-servizz jissejjaħ httpd.

Iċċekkja li l-blokk jaħdem

curl -I https://example.com/wp-content/upgrade/

Ir-risposta għandha tirritorna l-kodiċi 403.

Pass 3. Agħmel backup

Qabel ma taġġorna, agħmel backup tal-fajls tas-sit u d-database. Bil-WP-CLI:

wp db export ~/backup-$(date +%F).sql
tar -czf ~/site-files-$(date +%F).tar.gz -C /var/www/example.com .

Jekk għandek VPS, tista' wkoll tieħu snapshot tas-server fil-pannell tal-kontroll.

Pass 4. Aġġorna WordPress

Permezz tal-pannell tal-amministrazzjoni jew WP-CLI

Jekk imblokkajt l-aċċess għal wp-content/upgrade/ (Pass 2), aġġorna bħas-soltu — mill-pannell tal-amministrazzjoni jew bil-WP-CLI:

wp core update
wp core update-db
wp core version

L-aħħar kmand għandu juri 7.1.4 jew il-verżjoni fissa għall-fergħa tiegħek.

Manwalment, mingħajr tieqa ta' attakk

Jekk ma tistax timblokka l-aċċess għad-direttorju fil-livell tas-server tal-web (pereżempju, m'għandekx aċċess għall-konfigurazzjoni tiegħu), huwa aktar sikur li taġġorna manwalment. L-arkivju jiġi estratt barra mill-għerq tas-sit, u l-fajls jiġu kkupjati mingħajr ma jintmessu. wp-config.php or wp-content:

cd /tmp
wget https://wordpress.org/latest.tar.gz
tar -xzf latest.tar.gz
rsync -a --exclude 'wp-content' --exclude 'wp-config.php' /tmp/wordpress/ /var/www/example.com/
rm -rf /tmp/wordpress /tmp/latest.tar.gz

Imbagħad irrestawra s-sjieda tal-fajl (l-utent tas-server tal-web jista' jkun differenti, pereżempju nginx or apache) u aġġorna d-database:

chown -R www-data:www-data /var/www/example.com
wp core update-db

Minflok l-aħħar kmand, tista' tiftaħ https://example.com/wp-admin/upgrade.php fil-browser tiegħek.

Tinsiex il-plugins u t-temi

wp plugin update --all
wp theme update --all

Pass 5. Iċċekkja s-sit tiegħek għal sinjali ta' kompromess

Jekk is-sit tiegħek ġie aġġornat minn verżjoni vulnerabbli wara t-28 ta' Ottubru, kun żgur li ħadd ma ħa vantaġġ mill-attakk.

Talbiet lil installaturi temporanji fil-logs:

# nginx
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*

# Apache
grep -E "wp-content/upgrade/.*\.php" /var/log/apache2/access.log*

Talbiet b'a 200 Il-kodiċi tar-rispons huma partikolarment suspettużi.

Wp-config.php mibdul: iċċekkja d-data tal-modifika tal-fajl u s-settings tal-konnessjoni tad-database.

ls -l /var/www/example.com/wp-config.php
grep -E "DB_(NAME|USER|HOST)" /var/www/example.com/wp-config.php

Integrità tal-fajl ewlieni:

wp core verify-checksums

Fajls u amministraturi PHP mhux familjari:

find /var/www/example.com/wp-content/upgrade /var/www/example.com/wp-content/uploads -name "*.php"
find /var/www/example.com -name "*.php" -mtime -10
wp user list --role=administrator

Jekk issib wieħed mibdul wp-config.php, amministraturi mhux familjari jew fajls PHP mhux mistennija, ittratta s-sit bħala kompromess. Irrestawrah minn backup magħmul qabel it-28 ta' Ottubru, aġġorna WordPress u ibdel il-passwords kollha: amministratur, database, FTP u SSH.

Jekk kuntrattur iżomm is-sit tiegħek

Ibgħatilhom dan l-artiklu u itlobhom jikkonfermaw li s-sit ġie aġġornat għal verżjoni fissa u ċċekkjat għal sinjali ta' kompromess.

Bżonn l-għajnuna?

Mhux ċert jekk tistax timmaniġġja dan int stess, jew sibt fajls suspettużi? Ikkuntattja lit-tim ta' appoġġ tagħna — aħna ngħinuk tirranġah.