CISA patvirtino išnaudojimą: „WordPress“ atnaujinimo metu veikia CVE-2026-119977

Ką reiškia CVE-2026-119977?

„Wordfence“ spragą aprašo kaip TOCTOU („time-of-check to time-of-use“) lenktyniavimo klaidą „WordPress Core“ atnaujinimo procese. Pilno paketo atnaujinimas naudoja numatomus, iš žiniatinklio pasiekiamus laikinuosius kelius. Netinkamu momentu pasinaudojęs užpuolikas gali mėginti patekti į laikiną diegimo failą ir vykdyti kodą svetainės serveryje. CVE priskirtas 8,1 CVSS 3.1 įvertis. „Wordfence“ pažeidžiamumo aprašas.

Svarbi sąlyga: pažeidžiamas scenarijus susietas su pilnu „WordPress Core“ atnaujinimu ir siauru laiko langu. Tai nėra pranešimas, kad užpuolikas gali bet kada prisijungti prie kiekvienos senesnės svetainės vien atsiuntęs užklausą. Vis dėlto aktyvaus išnaudojimo patvirtinimas reiškia, kad senos ir neprižiūrimos instaliacijos turi būti tikrinamos skubiai.

Kokios versijos paveiktos ir kas pataisyta?

„Wordfence“ nurodo, kad pažeidžiami „WordPress Core“ leidimai nuo 4.7.0 iki 7.1.3. Pataisos išleistos ir senesnėms šakoms, todėl nebūtina vien dėl šios spragos aklai peršokti į kitą pagrindinę versiją — reikia įdiegti naujausią savo šakai skirtą saugumo leidimą.

Oficialus „WordPress 7.1.4“ pranešimas patvirtina, kad spalio 28 d. išleistas saugumo atnaujinimas pataiso pagrindinės sistemos atnaujinimo silpnybę, kuri galėjo leisti vykdyti kodą atnaujinimo metu. „WordPress“ rekomenduoja atnaujinti svetaines nedelsiant. „WordPress 7.1.4“ saugumo pranešimas.

Ką CISA įtraukimas į KEV reiškia Lietuvos įmonėms?

KEV katalogas fiksuoja spragas, kurių aktyvų išnaudojimą CISA laiko žinomu. JAV federalinėms civilinėms įstaigoms nustatytas lapkričio 6 d. terminas, tačiau jis nėra Lietuvos įmonėms taikomas teisinis įpareigojimas. Lietuvos organizacijoms tai yra rimtas prioritetų signalas: patikrinti visas „WordPress“ instaliacijas, įskaitant mažai prižiūrimas kampanijų svetaines, senus subdomenus ir testines aplinkas. CISA KEV įrašas; Kanados kibernetinio centro įspėjimas apie įtraukimą į katalogą.

Pranešime minimi blokuoti ar užfiksuoti bandymai nėra tas pats, kas patvirtinti įsilaužimai. CISA katalogo įrašas rodo, kad aktyvus išnaudojimas žinomas, bet pats savaime neįvardija, kurios Lietuvos svetainės nukentėjo, ir neparodo bendro sėkmingų kompromitavimų skaičiaus.

Administratoriaus veiksmų planas

1. Inventorizuokite visas svetaines. Patikrinkite pagrindinį domeną, subdomenus, kampanijų puslapius, testines instaliacijas ir svetaines, kurių niekas aktyviai neprižiūri.
2. Patikrinkite faktinę „WordPress Core“ versiją. Administravimo skydelyje peržiūrėkite atnaujinimo būseną ir patvirtinkite versiją po atnaujinimo; vien automatinio atnaujinimo nustatymas nėra įrodymas, kad pataisa įsidiegė.
3. Įdiekite naujausią pataisytą savo šakos leidimą. Prieš pakeitimą pasidarykite atsarginę kopiją ir patikrinkite, ar atkūrimas pasiekiamas. Jei versija labai sena ar nebepalaikoma, suplanuokite migraciją į prižiūrimą leidimą.
4. Patikrinkite svetainę po atnaujinimo. Patvirtinkite administravimo prisijungimą, svarbiausius puslapius, formas, parduotuvę, mokėjimus ir žurnalus.
5. Jei naujinimas nepavyko arba buvo neįprastai nutrauktas, atlikite papildomą patikrą. Peržiūrėkite naujas administratoriaus paskyras, įtartinus failus ir pakeitimus, žiniatinklio serverio žurnalus, suplanuotas užduotis bei atsarginių kopijų būklę. Įtarus kompromitavimą, išsaugokite žurnalus ir kreipkitės į svetainę prižiūrintį specialistą.

Laikinas failų prieigos apribojimas gali būti papildoma apsaugos priemonė tik tada, kai jis suderintas su jūsų hostingo ir atnaujinimo konfigūracija. Nekeiskite atnaujinimo katalogų leidimų aklai — galite sutrikdyti pačius atnaujinimus. Pagrindinis sprendimas yra oficialus pataisytas „WordPress“ leidimas.