வேர்ட்பிரஸ் பாதுகாப்பு பாதிப்பு CVE-2026-119977: புதுப்பித்தல்களின் போது தளங்கள் ஹேக் செய்யப்படுவது மற்றும் உங்கள் தளத்தைப் பாதுகாப்பது எப்படி

2026 அக்டோபர் மாத இறுதியில், வேர்ட்பிரஸ் புதுப்பிப்பு அமைப்பில் CVE-2026-119977 என்ற ஒரு பாதுகாப்புக்குறைபாடு கண்டறியப்பட்டது . இது, உள்நுழைவு அல்லது கடவுச்சொல் இல்லாத ஒரு தாக்குதல் நடத்துபவர், தளம் புதுப்பிக்கப்படும்போது மட்டும், சேவையகத்தில் தன்னிச்சையான குறியீட்டை இயக்க அனுமதிக்கிறது. இந்தப் பாதுகாப்புக்குறைபாடு ஏற்கனவே உண்மையான தாக்குதல்களில் பயன்படுத்தப்பட்டு வருகிறது.

இது எவ்வாறு செயல்படுகிறது, யார் பாதிக்கப்படுவார்கள் மற்றும் உங்கள் தளத்தைப் பாதுகாக்க என்ன செய்ய வேண்டும் என்பது கீழே கொடுக்கப்பட்டுள்ளது.

சுருக்கமாக பாதிப்பு

• அது என்ன முழுமையான வேர்ட்பிரஸ் கோர் புதுப்பித்தல் செயல்பாட்டில் ஒரு ரேஸ் கண்டிஷன் (TOCTOU கிளாஸ்).
• தீவிரம்: சிவிஎஸ்எஸ் 8.1 (உயர்).
• பாதிக்கப்பட்ட பதிப்புகள்: வேர்ட்பிரஸ் 4.7 முதல் 7.1.3 வரை.
• தாக்குபவருக்குத் தேவைப்படுவது: தளத்திற்கு HTTP அணுகல் மட்டுமே. அங்கீகாரம் மற்றும் நிர்வாகி நடவடிக்கை எதுவும் தேவையில்லை.
• சுரண்டல்: நவம்பர் 3, 2026 அன்று, CISA இந்த பாதிப்பைத் தனது அறியப்பட்ட சுரண்டல் பாதிப்புகள் (KEV) பட்டியலில் சேர்த்தது. விவரங்கள் வெளியிடப்பட்ட முதல் 21 மணி நேரத்தில், பாதிப்புக்குள்ளான பாதைகளுக்கு 18,500-க்கும் மேற்பட்ட கோரிக்கைகள் வந்ததாக வேர்ட்ஃபென்ஸ் பதிவு செய்தது.

தாக்குதல் எவ்வாறு செயல்படுகிறது

முழுமையான கோர் புதுப்பிப்பின் போது, ​​வேர்ட்பிரஸ் பின்வருவனவற்றைச் செய்கிறது:

1. புதிய பதிப்புடன் காப்பகத்தைப் பதிவிறக்குகிறது.
2. அதை உள்ளே ஒரு தற்காலிக கோப்புறைக்கு பிரித்தெடுக்கிறது wp-content/upgrade/.
3. கோப்புகளை நேரலைத் தளத்தில் நகலெடுக்கிறது.
4. தற்காலிக கோப்புறையை நீக்குகிறது.

பிரச்சனை என்னவென்றால், தற்காலிக கோப்புறை ஒரு இடத்தில் அமர்ந்திருக்கிறது. கணிக்கக்கூடிய பாதை மற்றும் உள்ளது உலாவி மூலம் அணுகக்கூடியதுஅதனுள், WordPress-இன் முழுமையான நகல் உள்ளது, அதில் பின்வருவனவும் அடங்கும்: setup-config.php நிறுவி.

புதுப்பிப்பு இயங்கிக்கொண்டிருக்கும்போது, ​​தாக்குதல் நடத்துபவர் இந்த இன்ஸ்டாலரைத் திறந்து அதனுள் செல்ல முடியும். அதன் விளைவாக, அவர்களால் நேரலைப் பதிப்பை மாற்றிவிட முடியும். wp-config.php மேலும் அந்தத் தளத்தைத் தங்களின் சொந்த வெற்றுத் தரவுத்தளத்திற்குச் சுட்டிக்காட்டுகிறார்கள். பின்னர் வேர்ட்பிரஸ் ஒரு "நிறுவலை" வழங்குகிறது — தாக்குபவர் அதை முடித்து, நிர்வாகியாகி, சேவையகத்தில் தனது சொந்த PHP குறியீட்டை இயக்குகிறார்.

தாக்குதலுக்கான கால அவகாசம் என்பது, அந்தப் புதுப்பிப்புக்கு ஆகும் சில வினாடிகளே ஆகும். இதனால் நடைமுறையில் தாக்குதலை நடத்துவது கடினமாகிறது, ஆனால் பெருமளவிலான ஸ்கேனர்கள், துல்லியமாக அந்த நேரம் சரியாக அமையும் என்ற நம்பிக்கையில், பாதிப்புக்குள்ளாகக்கூடிய பாதைகளைத் தொடர்ந்து ஆராய்ந்து வருகின்றன.

பதிப்பு 7.1.4 தற்காலிக கோப்புறையின் பெயரை சீரற்றதாக்குகிறது, நேரடி அணுகலுக்கு எதிரான பாதுகாப்பைச் சேர்க்கிறது மற்றும் தற்காலிக நகலிலிருந்து உள்ளமைவுகள் கொண்டு செல்லப்படுவதைத் தடுக்கிறது.

காலக்கெடு

சரிசெய்யப்பட்ட பதிப்புகள்

இந்தத் திருத்தம், 4.7 வரையிலான ஆதரிக்கப்படும் அனைத்துப் பதிப்புகளுக்கும் கொண்டுவரப்பட்டுள்ளது. சமீபத்திய பதிப்பான 7.1.4-க்கு மேம்படுத்துமாறு பரிந்துரைக்கிறோம்.

பதிப்பு 4.6 மற்றும் அதற்கு முந்தைய பதிப்புகளுக்குச் சரிசெய்தல் வழங்கப்படவில்லை. இந்தத் தளங்கள் தற்போதைய பதிப்பிற்குப் புதுப்பிக்கப்பட வேண்டும் அல்லது சேவையிலிருந்து நீக்கப்பட வேண்டும்.

படி 1. உங்கள் வேர்ட்பிரஸ் பதிப்பைச் சரிபார்க்கவும்

நிர்வாகப் பலகத்தில்: டாஷ்போர்டு → புதுப்பிப்புகள் . தானியங்குப் புதுப்பிப்புகளை நம்பி இருக்காதீர்கள் — அவை இயங்காமல் போயிருக்கலாம்: அவை முடக்கப்பட்டிருக்கலாம், கோப்பு அனுமதிகள் காரணமாகத் தோல்வியடையலாம் அல்லது ஒரு செருகுநிரலால் மேலெழுதப்பட்டிருக்கலாம்.

WP-CLI உடன்:

wp core version

சர்வரில் உங்களுக்குப் பல தளங்கள் இருந்தால், ஒவ்வொரு வேர்ட்பிரஸ் நிறுவலையும் அதன் பதிப்பையும் பின்வருமாறு கண்டறியலாம்:

find /var/www -path '*/wp-includes/version.php' -exec grep -H "wp_version =" {} \;

மாற்றவும் /var/www உங்கள் தளங்கள் அமைந்துள்ள கோப்பகத்துடன்.

படி 2. wp-content/upgrade/ கோப்பகத்திற்கான அணுகலைத் தடுக்கவும் (VPS மற்றும் பிரத்யேக சேவையகங்களுக்கு).

இதுவே மிக முக்கியமான நடவடிக்கை. இது உங்கள் வேர்ட்பிரஸ் பதிப்பைப் பொருட்படுத்தாமல் தாக்குதல் வாய்ப்பை மூடுகிறது, மேலும் புதுப்பிப்புகளிலும் தலையிடாது: வேர்ட்பிரஸ் இந்தக் கோப்புறையுடன் இணையத்தின் வழியாக அல்லாமல், கோப்பு முறைமையின் வழியாகவே செயல்படுகிறது. புதுப்பிப்பதற்கு முன்பு இதைச் செய்யுங்கள் , ஏனெனில் புதுப்பிப்பின் போதுதான் தாக்குதல் துல்லியமாக நிகழ்கிறது.

Nginx

இதை உங்கள் தளத்தில் சேர்க்கவும் server தொகுதி:

location ^~ /wp-content/upgrade/ {
    deny all;
}

உள்ளமைவைச் சோதித்து, nginx-ஐ மீண்டும் ஏற்றவும்:

nginx -t && systemctl reload nginx

அப்பாச்சி மற்றும் லைட்ஸ்பீட்

இதை இதில் சேர்க்கவும் .htaccess தளத்தின் மூலத்தில் உள்ள கோப்பு, மேலே நிலையான # BEGIN WordPress தொகுதி:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>

உங்களுக்கு அப்பாச்சி விர்ச்சுவல் ஹோஸ்ட் உள்ளமைப்பை அணுகும் வசதி இருந்தால், அங்குள்ள கோப்பகத்தைத் தடுப்பது மிகவும் நம்பகமானதாகும்:

<Directory "/var/www/example.com/wp-content/upgrade">
    Require all denied
</Directory>

பாதையை உங்களுடையதாக மாற்றி, அப்பாச்சியை மீண்டும் ஏற்றவும்:

apachectl configtest && systemctl reload apache2

AlmaLinux, Rocky மற்றும் பிற RHEL அடிப்படையிலான கணினிகளில், இந்தச் சேவை இவ்வாறு அழைக்கப்படுகிறது httpd.

தொகுதி செயல்படுகிறதா எனச் சரிபார்க்கவும்

curl -I https://example.com/wp-content/upgrade/

பதில் குறியீட்டைத் திருப்பியளிக்க வேண்டும் 403.

படி 3. காப்புப்பிரதி எடுக்கவும்.

புதுப்பிப்பதற்கு முன், தளக் கோப்புகளையும் தரவுத்தளத்தையும் காப்புப் பிரதி எடுக்கவும். WP-CLI உடன்:

wp db export ~/backup-$(date +%F).sql
tar -czf ~/site-files-$(date +%F).tar.gz -C /var/www/example.com .

உங்களிடம் VPS இருந்தால், கண்ட்ரோல் பேனலிலும் சர்வர் ஸ்னாப்ஷாட்டை எடுக்கலாம்.

படி 4. வேர்ட்பிரஸைப் புதுப்பிக்கவும்

நிர்வாகப் பலகம் அல்லது WP-CLI வழியாக

நீங்கள் அணுகலைத் தடுத்திருந்தால் wp-content/upgrade/ (படி 2), நிர்வாகப் பலகத்திலிருந்தோ அல்லது WP-CLI மூலமாகவோ வழக்கம் போல் புதுப்பிக்கவும்:

wp core update
wp core update-db
wp core version

கடைசி கட்டளையானது 7.1.4 அல்லது உங்கள் கிளைக்கான சரிசெய்யப்பட்ட பதிப்பைக் காட்ட வேண்டும்.

கைமுறையாக, தாக்குதல் சாளரம் இல்லாமல்

வலை சேவையக மட்டத்தில் கோப்பகத்திற்கான அணுகலை உங்களால் தடுக்க முடியாவிட்டால் (எடுத்துக்காட்டாக, அதன் உள்ளமைப்பிற்கான அணுகல் உங்களுக்கு இல்லை என்றால்), கைமுறையாகப் புதுப்பிப்பதே பாதுகாப்பானது. காப்பகம் தளத்தின் மூலத்திற்கு வெளியே பிரித்தெடுக்கப்பட்டு, கோப்புகள் எந்த மாற்றமும் செய்யப்படாமல் அப்படியே நகலெடுக்கப்படுகின்றன. wp-config.php or wp-content:

cd /tmp
wget https://wordpress.org/latest.tar.gz
tar -xzf latest.tar.gz
rsync -a --exclude 'wp-content' --exclude 'wp-config.php' /tmp/wordpress/ /var/www/example.com/
rm -rf /tmp/wordpress /tmp/latest.tar.gz

பின்னர் கோப்பு உரிமையை மீட்டமைக்கவும் (எடுத்துக்காட்டாக, வலை சேவையகப் பயனர் வேறுபடலாம்). nginx or apache) மற்றும் தரவுத்தளத்தைப் புதுப்பிக்கவும்:

chown -R www-data:www-data /var/www/example.com
wp core update-db

கடைசி கட்டளைக்கு பதிலாக, நீங்கள் திறக்கலாம் https://example.com/wp-admin/upgrade.php உங்கள் உலாவியில்.

செருகுநிரல்களையும் கருப்பொருள்களையும் மறக்க வேண்டாம்

wp plugin update --all
wp theme update --all

படி 5. உங்கள் தளத்தில் பாதுகாப்பு மீறப்பட்டதற்கான அறிகுறிகள் உள்ளதா எனச் சரிபார்க்கவும்.

அக்டோபர் 28-க்குப் பிறகு உங்கள் தளம் பாதுகாப்புக் குறைபாடுள்ள பதிப்பிலிருந்து புதுப்பிக்கப்பட்டிருந்தால், அந்தத் தாக்குதலை யாரும் சாதகமாகப் பயன்படுத்திக்கொள்ளவில்லை என்பதை உறுதிப்படுத்திக்கொள்ளுங்கள்.

பதிவேடுகளில் உள்ள தற்காலிக நிறுவிகளுக்கான கோரிக்கைகள்:

# nginx
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*

# Apache
grep -E "wp-content/upgrade/.*\.php" /var/log/apache2/access.log*

ஒரு கோரிக்கையுடன் 200 பதில் குறியீடுகள் குறிப்பாக சந்தேகத்திற்குரியவை.

மாற்றப்பட்ட wp-config.php: கோப்பு மாற்றியமைக்கப்பட்ட தேதி மற்றும் தரவுத்தள இணைப்பு அமைப்புகளைச் சரிபார்க்கவும்.

ls -l /var/www/example.com/wp-config.php
grep -E "DB_(NAME|USER|HOST)" /var/www/example.com/wp-config.php

முக்கிய கோப்பு ஒருமைப்பாடு:

wp core verify-checksums

அறிமுகமில்லாத PHP கோப்புகள் மற்றும் நிர்வாகிகள்:

find /var/www/example.com/wp-content/upgrade /var/www/example.com/wp-content/uploads -name "*.php"
find /var/www/example.com -name "*.php" -mtime -10
wp user list --role=administrator

மாற்றப்பட்டதை நீங்கள் கண்டால் wp-config.phpஅறிமுகமில்லாத நிர்வாகிகள் அல்லது எதிர்பாராத PHP கோப்புகள் போன்றவற்றால் தளம் பாதிப்புக்குள்ளானதாகக் கருதவும். அக்டோபர் 28-க்கு முன்பு எடுக்கப்பட்ட காப்புப்பிரதியிலிருந்து அதை மீட்டெடுக்கவும், WordPress-ஐப் புதுப்பிக்கவும் மற்றும் administrator, database, FTP, SSH ஆகிய அனைத்து கடவுச்சொற்களையும் மாற்றவும்.

ஒரு ஒப்பந்தக்காரர் உங்கள் தளத்தைப் பராமரித்தால்

இந்தக் கட்டுரையை அவர்களுக்கு அனுப்பி, தளம் சரிசெய்யப்பட்ட பதிப்பிற்குப் புதுப்பிக்கப்பட்டு, அதில் ஏதேனும் பாதுகாப்பு மீறல் அறிகுறிகள் உள்ளதா எனச் சரிபார்க்கப்பட்டுள்ளதா என்பதை உறுதி செய்யுமாறு அவர்களிடம் கேளுங்கள்.

உதவி தேவை?

இதை நீங்களே கையாள முடியுமா என்று உறுதியாகத் தெரியவில்லையா, அல்லது சந்தேகத்திற்கிடமான கோப்புகளைக் கண்டறிந்தீர்களா? எங்கள் ஆதரவுக் குழுவைத் தொடர்பு கொள்ளுங்கள் — அதைச் சரிசெய்ய நாங்கள் உங்களுக்கு உதவுவோம்.