Уязвимость в WordPress Core: во время обновления злоумышленник может выполнить свой код на сервере

Чем опасно

Уязвимость возникает из-за предсказуемых путей к временным каталогам, которые создаются при обновлении ядра WordPress и доступны из интернета. В момент обновления злоумышленник без учётной записи и пароля может подменить файлы и выполнить на сервере свой код. По сути это означает возможный полный контроль над сайтом и данными на хостинге.

Кого касается

Прежде всего — компании, у которых сайт работает на WordPress и обновления ядра запускаются через веб-интерфейс. Уязвимые версии — 4.7–7.1.3, точный перечень уязвимых версий и исправлений — в бюллетене производителя.

Что сделать

• Обновить ядро WordPress до версии новее 7.1.3, следуя инструкции производителя (сначала сделайте резервную копию сайта и базы данных).
• После обновления закрыть из интернета временные каталоги, которые WordPress создаёт при обновлении (в частности каталог upgrade в папке wp-content), и отключить просмотр содержимого каталогов.
• Проверить журналы веб-сервера на обращения к временным каталогам обновления в дни, когда сайт обновлялся.
• Проверить файлы сайта на посторонние и изменённые объекты (сверить с резервной копией или контрольными суммами), при находках — сменить пароли администраторов и ключи доступа к хостингу.
• Ограничить права пользователя, под которым работает веб-сервер: запись только в необходимые каталоги, без прав на запуск системных команд.