Дар охири моҳи октябри соли 2026, дар механизми навсозии WordPress осебпазирӣ пайдо шуд: CVE-2026-119977 . Он ба ҳамлагар, ки номи корбар ё парол надорад, имкон медиҳад, ки рамзи худсаронаро дар сервер иҷро кунад — аммо танҳо ҳангоми навсозии сайт. Осебпазирӣ аллакай дар ҳамлаҳои воқеӣ истифода мешавад.
Дар зер тарзи кор, кӣ таъсир мерасонад ва барои ҳифзи сайти шумо чӣ кор кардан лозим аст оварда шудааст.
Кӯтоҳ дар бораи осебпазирӣ
- Он чӣ аст: шарти мусобиқа (синфи TOCTOU) дар раванди пурраи навсозии аслии WordPress.
- Ҷиддият: CVSS 8.1 (Баланд).
- Версияҳои таъсиррасон: WordPress аз 4.7 то 7.1.3 (аз ҷумла).
- Ба ҳамлагар чӣ лозим аст: танҳо дастрасӣ ба сайт тавассути HTTP. Ҳеҷ гуна тасдиқ ва ягон амали администратор лозим нест.
- Истисмор: 3 ноябри соли 2026, CISA ин осебпазириро ба каталоги осебпазириҳои маъруфи истифодашуда (KEV)-и худ илова кард. Wordfence дар 21 соати аввал пас аз ифшои тафсилот беш аз 18,500 дархостро ба роҳҳои осебпазир сабт кард.
Чӣ тавр ҳамла кор мекунад
Ҳангоми навсозии пурраи аслӣ, WordPress инҳоро иҷро мекунад:
- Архивро бо версияи нав зеркашӣ мекунад.
- Онро ба ҷузвдони муваққатии дар дохили он ҷойгиршуда хориҷ мекунад
wp-content/upgrade/. - Файлҳоро аз болои сомонаи зинда нусхабардорӣ мекунад.
- Папкаи муваққатиро нест мекунад.
Мушкилот дар он аст, ки папкаи муваққатӣ дар ... ҷойгир аст роҳи пешгӯишаванда ва аст дастрас аз браузерДар дохили он нусхаи пурраи WordPress, аз ҷумла setup-config.php насбкунанда.
Ҳангоми иҷро шудани навсозӣ, ҳамлагар метавонад ин насбкунандаро кушояд ва аз он гузарад. Дар натиҷа, онҳо метавонанд барномаи зиндаро иваз кунанд. wp-config.php ва сайтро ба пойгоҳи додаҳои холии худ равона мекунанд. Сипас WordPress "насб"-ро пешниҳод мекунад - ҳамлагар онро ба анҷом мерасонад, администратор мешавад ва рамзи PHP-и худро дар сервер иҷро мекунад.
Тирезаи ҳамла чанд сонияест, ки навсозӣ мегирад. Ин амалан анҷом додани ҳамларо душвор мегардонад, аммо сканерҳои оммавӣ роҳҳои осебпазирро пайваста месанҷанд ва маҳз ба ҳамин вақт барои пайваст шудан умед мебанданд.
Нусхаи 7.1.4 номи папкаи муваққатиро тасодуфӣ мекунад, муҳофизатро аз дастрасии мустақим илова мекунад ва интиқоли конфигуратсияро аз нусхаи муваққатӣ манъ мекунад.
Давомнокӣ
| таърих | ҳодиса |
|---|---|
| Октябр 28, 2026 | Версияҳои WordPress 7.1.4 ва версияҳои собит барои шохаҳои кӯҳна нашр шудаанд |
| Октябр 30, 2026 | Кӯшишҳои аввалини истисмор сабт карда мешаванд |
| Октябр 31, 2026 | Ба осебпазирӣ CVE-2026-119977 таъин шудааст |
| Ноябри соли 3, 2026 | CISA ба каталоги KEV осебпазирӣ илова мекунад |
Версияҳои собитшуда
Ислоҳ ба ҳар як шохаи дастгиришаванда то 4.7 нусхабардорӣ шудааст. Мо тавсия медиҳем, ки онро ба версияи охирини 7.1.4 навсозӣ кунед.
| Филиали | Нусхаи собитшуда |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
| 6.5 | 6.5.14 |
| 6.4 | 6.4.14 |
| 6.3 | 6.3.14 |
| 6.2 | 6.2.15 |
| 6.1 | 6.1.16 |
| 6.0 | 6.0.18 |
| 5.x, 4.7–4.9 | Як озодкунии муқарраршуда барои ҳар як шоха, то 4.7.39 |
Нусхаҳои 4.6 ва болотар ислоҳ нашуданд. Ин сайтҳо бояд ба версияи ҷорӣ навсозӣ шаванд ё аз хидмат хориҷ карда шаванд.
Қадами 1. Версияи WordPress-и худро санҷед
Дар панели идоракунӣ: Панели идоракунӣ → Навсозӣ . Ба навсозиҳои худкор такя накунед — онҳо метавонанд кор накарда бошанд: онҳо метавонанд ғайрифаъол бошанд, аз сабаби иҷозатҳои файл ноком шаванд ё аз ҷониби плагин бекор карда шаванд.
Бо WP-CLI:
wp core versionАгар шумо дар сервер якчанд сайт дошта бошед, шумо метавонед ҳар як насби WordPress ва версияи онро чунин пайдо кунед:
find /var/www -path '*/wp-includes/version.php' -exec grep -H "wp_version =" {} \;Иваз кунед /var/www бо директорияе, ки сайтҳои шумо дар он ҷойгиранд.
Қадами 2. Дастрасиро ба wp-content/upgrade/ масдуд кунед (барои VPS ва серверҳои махсус)
Ин муҳимтарин чора аст. Он тирезаи ҳамларо новобаста аз версияи WordPress-и шумо мебандад ва ба навсозиҳо халал намерасонад: WordPress бо ин папка тавассути системаи файлӣ кор мекунад, на тавассути веб. Инро пеш аз навсозӣ анҷом диҳед, зеро ҳамла маҳз ҳангоми навсозӣ рух медиҳад.
nginx
Инро ба сайти худ илова кунед server блок:
location ^~ /wp-content/upgrade/ {
deny all;
}Танзимотро санҷед ва nginx-ро аз нав бор кунед:
nginx -t && systemctl reload nginxApache ва LiteSpeed
Инро ба .htaccess файл дар решаи сайт, боло стандарт # BEGIN WordPress блок:
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>Агар шумо ба конфигуратсияи хости виртуалии Apache дастрасӣ дошта бошед, масдуд кардани директория дар он ҷо боэътимодтар аст:
<Directory "/var/www/example.com/wp-content/upgrade">
Require all denied
</Directory>Роҳро бо роҳи худ иваз кунед ва Apache-ро аз нав бор кунед:
apachectl configtest && systemctl reload apache2Дар AlmaLinux, Rocky ва дигар системаҳои RHEL, ин хидмат номида мешавад httpd.
Санҷед, ки блок кор мекунад
curl -I https://example.com/wp-content/upgrade/Ҷавоб бояд рамзро баргардонад 403.
Қадами 3. Нусхаи эҳтиётӣ созед
Пеш аз навсозӣ, файлҳо ва пойгоҳи додаҳои сайтро нусхабардорӣ кунед. Бо WP-CLI:
wp db export ~/backup-$(date +%F).sql
tar -czf ~/site-files-$(date +%F).tar.gz -C /var/www/example.com .Агар шумо VPS дошта бошед, шумо инчунин метавонед дар панели идоракунӣ акси сервер гиред.
Қадами 4. WordPress-ро навсозӣ кунед
Тавассути панели идоракунӣ ё WP-CLI
Агар шумо дастрасиро ба он масдуд карда бошед wp-content/upgrade/ (Қадами 2), навсозӣ мисли маъмулӣ - аз панели идоракунӣ ё бо WP-CLI:
wp core update
wp core update-db
wp core versionФармони охирин бояд 7.1.4 ё версияи собитшударо барои шохаи шумо нишон диҳад.
Дастӣ, бе тирезаи ҳамла
Агар шумо дастрасӣ ба директорияро дар сатҳи сервери веб масдуд карда натавонед (масалан, шумо ба конфигуратсияи он дастрасӣ надоред), навсозии дастӣ бехатартар аст. Архив берун аз решаи сайт истихроҷ карда мешавад ва файлҳо бе ламс кардан нусхабардорӣ карда мешаванд. wp-config.php or wp-content:
cd /tmp
wget https://wordpress.org/latest.tar.gz
tar -xzf latest.tar.gz
rsync -a --exclude 'wp-content' --exclude 'wp-config.php' /tmp/wordpress/ /var/www/example.com/
rm -rf /tmp/wordpress /tmp/latest.tar.gzСипас соҳибии файлро барқарор кунед (масалан, корбари веб-сервер метавонад фарқ кунад) nginx or apache) ва пойгоҳи додаҳоро навсозӣ кунед:
chown -R www-data:www-data /var/www/example.com
wp core update-dbБа ҷои фармони охирин, шумо метавонед кушоед https://example.com/wp-admin/upgrade.php дар браузери шумо.
Плагинҳо ва мавзӯъҳоро фаромӯш накунед
wp plugin update --all
wp theme update --allҚадами 5. Сомонаи худро барои нишонаҳои созиш тафтиш кунед
Агар сомонаи шумо пас аз 28 октябр аз версияи осебпазир навсозӣ шуда бошад, боварӣ ҳосил кунед, ки касе аз ҳамла истифода накардааст.
Дархостҳо ба насбкунандагони муваққатӣ дар гузоришҳо:
# nginx
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*
# Apache
grep -E "wp-content/upgrade/.*\.php" /var/log/apache2/access.log*Дархостҳо бо 200 Рамзи посух махсусан шубҳанок аст.
Файли wp-config.php-и ивазшуда: санаи тағирёбии файл ва танзимоти пайвастшавии пойгоҳи додаҳоро санҷед.
ls -l /var/www/example.com/wp-config.php
grep -E "DB_(NAME|USER|HOST)" /var/www/example.com/wp-config.phpЯкпорчагии файли асосӣ:
wp core verify-checksumsФайлҳо ва мудирони ношиноси PHP:
find /var/www/example.com/wp-content/upgrade /var/www/example.com/wp-content/uploads -name "*.php"
find /var/www/example.com -name "*.php" -mtime -10
wp user list --role=administratorАгар шумо ивазкунандаеро пайдо кунед wp-config.php, мудирони ношинос ё файлҳои ғайричашмдошти PHP, сайтро ҳамчун осебдида баррасӣ кунед. Онро аз нусхаи эҳтиётии пеш аз 28 октябр барқарор кунед, WordPress-ро навсозӣ кунед ва ҳамаи паролҳоро иваз кунед: мудир, пойгоҳи додаҳо, FTP ва SSH.
Агар пудратчӣ сайти шуморо нигоҳдорӣ кунад
Ин мақоларо ба онҳо фиристед ва аз онҳо хоҳиш кунед, ки тасдиқ кунанд, ки сайт ба версияи собитшуда навсозӣ шудааст ва нишонаҳои вайронкуниро тафтиш кардааст.
Кӯмаки лозимӣ?
Мутмаин нестед, ки шумо метавонед ин корро худатон анҷом диҳед ё файлҳои шубҳанок пайдо кардед? Бо дастаи дастгирии мо тамос гиред — мо ба шумо дар ҳалли ин масъала кӯмак хоҳем кард.
