WordPress Vulnerability CVE-2026-119977: अपडेटको समयमा ह्याक गरिएका साइटहरू र तपाईंको साइटहरू कसरी सुरक्षित गर्ने

अक्टोबर २०२६ को अन्त्यतिर, WordPress अपडेट संयन्त्रमा एउटा जोखिम फेला पर्यो: CVE-2026-119977 । यसले लगइन वा पासवर्ड बिना आक्रमणकारीलाई सर्भरमा मनमानी कोड कार्यान्वयन गर्न अनुमति दिन्छ — तर साइट अपडेट भइरहेको बेला मात्र। यो जोखिम पहिले नै वास्तविक आक्रमणहरूमा प्रयोग भइरहेको छ।

तल यसले कसरी काम गर्छ, को प्रभावित हुन्छ र तपाईंको साइटलाई सुरक्षित राख्न के गर्ने भन्ने बारे जानकारी दिइएको छ।

संक्षेपमा जोखिम

• यो के हो: पूर्ण WordPress कोर अपडेट प्रक्रियामा दौड अवस्था (TOCTOU वर्ग)।
• गम्भीरता: CVSS ८.१ (उच्च)।
• प्रभावित संस्करणहरू: वर्डप्रेस ४.७ देखि ७.१.३ सम्म।
• आक्रमणकारीलाई के चाहिन्छ: साइटमा HTTP पहुँच मात्र। कुनै प्रमाणीकरण र कुनै प्रशासक कार्य आवश्यक पर्दैन।
• शोषण: नोभेम्बर ३, २०२६ मा, CISA ले आफ्नो ज्ञात शोषित जोखिम (KEV) क्याटलगमा जोखिम थप्यो। विवरणहरू खुलासा भएको पहिलो २१ घण्टामा वर्डफेन्सले जोखिमपूर्ण मार्गहरूमा १८,५०० भन्दा बढी अनुरोधहरू रेकर्ड गर्यो।

आक्रमण कसरी काम गर्छ

पूर्ण कोर अपडेटको समयमा, WordPress ले निम्न कार्यहरू गर्दछ:

1. नयाँ संस्करणको साथ अभिलेख डाउनलोड गर्छ।
2. यसलाई भित्रको अस्थायी फोल्डरमा निकाल्छ wp-content/upgrade/.
3. लाइभ साइटमा फाइलहरूको प्रतिलिपि बनाउँछ।
4. अस्थायी फोल्डर मेटाउँछ।

समस्या यो हो कि अस्थायी फोल्डर a मा बस्छ अनुमान गर्न सकिने बाटो र छ ब्राउजरबाट पहुँचयोग्य. यसको भित्र WordPress को पूर्ण प्रतिलिपि छ, जसमा setup-config.php स्थापनाकर्ता

अपडेट चलिरहेको बेला, आक्रमणकारीले यो स्थापनाकर्ता खोल्न र यसलाई मार्फत जान सक्छ। फलस्वरूप, तिनीहरूले लाइभ प्रतिस्थापन गर्न सक्छन् wp-config.php र साइटलाई आफ्नै खाली डाटाबेसमा देखाउँछ। त्यसपछि WordPress ले "स्थापना" प्रदान गर्दछ — आक्रमणकारीले यसलाई पूरा गर्छ, प्रशासक बन्छ र सर्भरमा आफ्नै PHP कोड चलाउँछ।

आक्रमण विन्डो भनेको अपडेट हुन लाग्ने केही सेकेन्ड हो। यसले अभ्यासमा आक्रमण गर्न गाह्रो बनाउँछ, तर मास स्क्यानरहरूले कमजोर मार्गहरूको निरन्तर जाँच गर्छन्, ठ्याक्कै त्यो समयलाई लाइनमा राख्नको लागि गणना गर्छन्।

संस्करण ७.१.४ ले अस्थायी फोल्डरको नामलाई अनियमित बनाउँछ, प्रत्यक्ष पहुँच विरुद्ध सुरक्षा थप्छ र अस्थायी प्रतिलिपिबाट कन्फिगरेसनलाई बाहिर निकाल्नबाट रोक्छ।

समय रेखा

स्थिर संस्करणहरू

समाधानलाई प्रत्येक समर्थित शाखामा ४.७ सम्म ब्याकपोर्ट गरिएको छ। हामी नवीनतम संस्करण, ७.१.४ मा अद्यावधिक गर्न सिफारिस गर्छौं।

संस्करण ४.६ र सोभन्दा पुरानामा कुनै समस्या समाधान भएन। यी साइटहरूलाई हालको संस्करणमा अद्यावधिक गर्नुपर्नेछ वा सेवाबाट हटाउनुपर्नेछ।

चरण १. आफ्नो WordPress संस्करण जाँच गर्नुहोस्

एडमिन प्यानलमा: ड्यासबोर्ड → अपडेटहरू । स्वचालित अपडेटहरूमा भर नपर्नुहोस् — तिनीहरू चलेका नहुन सक्छन्: तिनीहरू असक्षम हुन सक्छन्, फाइल अनुमतिहरूको कारणले असफल हुन सक्छन् वा प्लगइनद्वारा ओभरराइड हुन सक्छन्।

WP-CLI सँग:

wp core version

यदि तपाईंसँग सर्भरमा धेरै साइटहरू छन् भने, तपाईंले प्रत्येक WordPress स्थापना र यसको संस्करण यस प्रकार पाउन सक्नुहुन्छ:

find /var/www -path '*/wp-includes/version.php' -exec grep -H "wp_version =" {} \;

बदल्नुहोस् /var/www तपाईंको साइटहरू बस्ने निर्देशिकाको साथ।

चरण २. wp-content/upgrade/ मा पहुँच रोक्नुहोस् (VPS र समर्पित सर्भरहरूको लागि)

यो सबैभन्दा महत्त्वपूर्ण उपाय हो। यसले तपाईंको WordPress संस्करणलाई ध्यान नदिई आक्रमण विन्डो बन्द गर्छ र अपडेटहरूमा हस्तक्षेप गर्दैन: WordPress ले यो फोल्डरसँग फाइल प्रणाली मार्फत काम गर्छ, वेब मार्फत होइन। अपडेट गर्नु अघि यो गर्नुहोस् , किनकि आक्रमण अपडेटको समयमा ठ्याक्कै हुन्छ।

nginx

यसलाई आफ्नो साइटमा थप्नुहोस् server ब्लक:

location ^~ /wp-content/upgrade/ {
    deny all;
}

कन्फिगरेसन परीक्षण गर्नुहोस् र nginx पुन: लोड गर्नुहोस्:

nginx -t && systemctl reload nginx

अपाचे र लाइटस्पीड

यसमा थप्नुहोस् .htaccess साइट रूटमा फाइल, माथि मानक # BEGIN WordPress ब्लक:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>

यदि तपाईंसँग Apache भर्चुअल होस्ट कन्फिगरेसनमा पहुँच छ भने, त्यहाँ डाइरेक्टरी ब्लक गर्नु बढी भरपर्दो हुन्छ:

<Directory "/var/www/example.com/wp-content/upgrade">
    Require all denied
</Directory>

तपाईंको आफ्नै मार्गले बाटो बदल्नुहोस् र Apache पुन: लोड गर्नुहोस्:

apachectl configtest && systemctl reload apache2

AlmaLinux, Rocky र अन्य RHEL-आधारित प्रणालीहरूमा, सेवालाई भनिन्छ httpd.

ब्लकले काम गर्छ कि गर्दैन जाँच गर्नुहोस्

curl -I https://example.com/wp-content/upgrade/

प्रतिक्रियाले कोड फर्काउनु पर्छ 403.

चरण ३. ब्याकअप बनाउनुहोस्

अपडेट गर्नु अघि, साइट फाइलहरू र डाटाबेसको ब्याकअप लिनुहोस्। WP-CLI सँग:

wp db export ~/backup-$(date +%F).sql
tar -czf ~/site-files-$(date +%F).tar.gz -C /var/www/example.com .

यदि तपाईंसँग VPS छ भने, तपाईं नियन्त्रण प्यानलमा सर्भरको स्न्यापसट पनि लिन सक्नुहुन्छ।

चरण ४. वर्डप्रेस अपडेट गर्नुहोस्

एडमिन प्यानल वा WP-CLI मार्फत

यदि तपाईंले पहुँच अवरुद्ध गर्नुभएको छ भने wp-content/upgrade/ (चरण २), सधैं जस्तै अपडेट गर्नुहोस् — एडमिन प्यानलबाट वा WP-CLI मार्फत:

wp core update
wp core update-db
wp core version

अन्तिम आदेशले ७.१.४ वा तपाईंको शाखाको लागि निश्चित संस्करण देखाउनु पर्छ।

म्यानुअल रूपमा, कुनै आक्रमण विन्डो बिना

यदि तपाईंले वेब सर्भर स्तरमा डाइरेक्टरीमा पहुँच रोक्न सक्नुहुन्न (उदाहरणका लागि, तपाईंसँग यसको कन्फिगरेसनमा पहुँच छैन), म्यानुअल रूपमा अद्यावधिक गर्नु सुरक्षित हुन्छ। अभिलेख साइट रूट बाहिर निकालिन्छ, र फाइलहरू नछोइकन प्रतिलिपि गरिन्छ। wp-config.php or wp-content:

cd /tmp
wget https://wordpress.org/latest.tar.gz
tar -xzf latest.tar.gz
rsync -a --exclude 'wp-content' --exclude 'wp-config.php' /tmp/wordpress/ /var/www/example.com/
rm -rf /tmp/wordpress /tmp/latest.tar.gz

त्यसपछि फाइल स्वामित्व पुनर्स्थापित गर्नुहोस् (वेब ​​सर्भर प्रयोगकर्ता फरक हुन सक्छ, उदाहरणका लागि nginx or apache) र डाटाबेस अपडेट गर्नुहोस्:

chown -R www-data:www-data /var/www/example.com
wp core update-db

अन्तिम आदेशको सट्टा, तपाईं खोल्न सक्नुहुन्छ https://example.com/wp-admin/upgrade.php तपाईंको ब्राउजरमा।

प्लगइन र थिमहरू नबिर्सनुहोस्

wp plugin update --all
wp theme update --all

चरण ५. सम्झौताको संकेतहरूको लागि आफ्नो साइट जाँच गर्नुहोस्।

यदि तपाईंको साइट अक्टोबर २८ पछि कमजोर संस्करणबाट अद्यावधिक गरिएको छ भने, कसैले पनि आक्रमणको फाइदा उठाएको छैन भनी सुनिश्चित गर्नुहोस्।

लगहरूमा अस्थायी स्थापनाकर्ताहरूलाई अनुरोधहरू:

# nginx
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*

# Apache
grep -E "wp-content/upgrade/.*\.php" /var/log/apache2/access.log*

अनुरोधहरू 200 प्रतिक्रिया कोड विशेष गरी शंकास्पद छन्।

प्रतिस्थापन गरिएको wp-config.php: फाइलको परिमार्जन मिति र डाटाबेस जडान सेटिङहरू जाँच गर्नुहोस्।

ls -l /var/www/example.com/wp-config.php
grep -E "DB_(NAME|USER|HOST)" /var/www/example.com/wp-config.php

कोर फाइल अखण्डता:

wp core verify-checksums

अपरिचित PHP फाइलहरू र प्रशासकहरू:

find /var/www/example.com/wp-content/upgrade /var/www/example.com/wp-content/uploads -name "*.php"
find /var/www/example.com -name "*.php" -mtime -10
wp user list --role=administrator

यदि तपाईंले प्रतिस्थापन गरिएको फेला पार्नुभयो भने wp-config.php, अपरिचित प्रशासकहरू वा अप्रत्याशित PHP फाइलहरू, साइटलाई सम्झौता भएको रूपमा व्यवहार गर्नुहोस्। अक्टोबर २८ अघि गरिएको ब्याकअपबाट यसलाई पुनर्स्थापित गर्नुहोस्, WordPress अपडेट गर्नुहोस् र सबै पासवर्डहरू परिवर्तन गर्नुहोस्: प्रशासक, डाटाबेस, FTP र SSH।

यदि ठेकेदारले तपाईंको साइट मर्मत गर्छ भने

यो लेख उनीहरूलाई फर्वार्ड गर्नुहोस् र साइटलाई निश्चित संस्करणमा अद्यावधिक गरिएको छ र सम्झौताको संकेतहरू जाँच गरिएको छ कि छैन भनेर पुष्टि गर्न सोध्नुहोस्।

सहयोग चाहियो?

तपाईं आफैं यो ह्यान्डल गर्न सक्नुहुन्छ कि भनेर निश्चित हुनुहुन्न, वा शंकास्पद फाइलहरू फेला पार्नुभयो? हाम्रो समर्थन टोलीलाई सम्पर्क गर्नुहोस् — हामी तपाईंलाई यसलाई मिलाउन मद्दत गर्नेछौं।