WordPress-ის მომხმარებლებისა და ვებგვერდების ადმინისტრატორებისთვის მნიშვნელოვანი უსაფრთხოების გაფრთხილება გავრცელდა. WordPress Core-ში აღმოჩენილია ორი სერიოზული სისუსტე, რომელთაგან ერთ-ერთი თავდამსხმელს საშუალებას აძლევს, გარკვეულ ვერსიებზე ავტორიზაციის გარეშე დისტანციურად შეასრულოს კოდი.
CERT Polska-მ ადმინისტრატორებს მოუწოდა, დაუცველი WordPress ვერსიები დაუყოვნებლივ განაახლონ. ორგანიზაციის განცხადებით, ხარვეზების მასობრივი ექსპლუატაციის მაღალი რისკი არსებობს.
რა სისუსტეები აღმოაჩინეს?
უსაფრთხოების განახლება ორ ძირითად მოწყვლადობას ეხება:
CVE-2026-63030 — Remote Code Execution (RCE)
ეს ყველაზე კრიტიკული სისუსტეა. მისი წარმატებით გამოყენების შემთხვევაში თავდამსხმელს შეუძლია WordPress-ის დაუცველ ინსტალაციაზე დისტანციურად შეასრულოს კოდი.
განსაკუთრებით საყურადღებოა ის ფაქტი, რომ თავდასხმისთვის მომხმარებლის ანგარიშის ან ადმინისტრატორის პაროლის ცოდნა საჭირო არ არის.
პრობლემა დაკავშირებულია WordPress REST API-ის batch route-ის დამუშავებასთან და SQL Injection-ის გამოყენებით შესაძლოა საბოლოოდ Remote Code Execution-მდე მივიდეს.
CVE-2026-60137 — SQL Injection
მეორე სისუსტე SQL Injection ტიპისაა და WordPress-ის უფრო ფართო ვერსიებს მოიცავს.
SQL Injection-ის ტიპის შეტევები შესაძლოა გამოყენებული იყოს მონაცემთა ბაზასთან არასანქცირებული მოქმედებების განსახორციელებლად და ვებგვერდის უსაფრთხოების დასარღვევად.
WordPress-ის რომელი ვერსიებია დაუცველი?
Remote Code Execution სისუსტე გავლენას ახდენს:
- WordPress 6.9.0 – 6.9.4
- WordPress 7.0.0 – 7.0.1
SQL Injection-ის სისუსტე დამატებით გვხვდება:
- WordPress 6.8.0 – 6.8.5
WordPress-ის 6.8-ზე ძველი ვერსიები აღნიშნული ორი კონკრეტული სისუსტით დაზარალებული არ არის, თუმცა ძველი WordPress ვერსიების გამოყენება უსაფრთხოების თვალსაზრისით მაინც არ არის რეკომენდებული.
რომელ ვერსიაზე უნდა განახლდეს WordPress?
WordPress-ის ადმინისტრატორებმა უნდა გამოიყენონ შესაბამისი უსაფრთხო ვერსიები:
- WordPress 6.8 → 6.8.6 ან ახალი
- WordPress 6.9 → 6.9.5 ან ახალი
- WordPress 7.0 → 7.0.2 ან ახალი
WordPress.org-ის რეკომენდაციაა, რომ უსაფრთხოების განახლება დაუყოვნებლივ განხორციელდეს.
პრობლემის სიმძიმიდან გამომდინარე, WordPress-ის გუნდმა დაზარალებული ინსტალაციებისთვის ავტომატური განახლების მექანიზმით იძულებითი განახლებებიც ჩართო.
მიუხედავად ამისა, ადმინისტრატორებმა აუცილებლად უნდა გადაამოწმონ, ნამდვილად განახლდა თუ არა მათი ვებგვერდი.
თავდასხმისთვის პლაგინის არსებობა საჭირო არ არის
ამ შემთხვევის ერთ-ერთი ყველაზე მნიშვნელოვანი დეტალი ისაა, რომ პრობლემა WordPress-ის რომელიმე მესამე მხარის პლაგინს ან თემას არ უკავშირდება.
სისუსტე უშუალოდ WordPress Core-შია.
CERT Polska-ს ინფორმაციით, თავდასხმისთვის საჭირო არ არის:
- WordPress-ზე მომხმარებლის ანგარიშის არსებობა;
- ადმინისტრატორის პაროლის ცოდნა;
- კონკრეტული პლაგინის დაყენება;
- სპეციალური ან არასტანდარტული WordPress კონფიგურაცია.
შესაბამისად, დაუცველი შეიძლება იყოს WordPress-ის ჩვეულებრივი ინსტალაციაც, თუ ის პრობლემურ ვერსიაზე მუშაობს.
რა შეიძლება მოხდეს წარმატებული შეტევის შემთხვევაში?
კრიტიკული RCE სისუსტის წარმატებით გამოყენებამ შესაძლოა თავდამსხმელს ვებგვერდზე მნიშვნელოვანი კონტროლის მოპოვების საშუალება მისცეს.
შედეგი შეიძლება იყოს ვებგვერდის დაზიანება ან შეცვლა, მავნე კოდის განთავსება, მონაცემების მოპარვა და საიტის შემდგომი გამოყენება სხვა კიბერშეტევებისთვის.
სწორედ ამიტომ უსაფრთხოების განახლების გადადება რეკომენდებული არ არის.
როგორ შევამოწმოთ WordPress-ის ვერსია?
WordPress-ის ადმინისტრაციულ პანელში შედით:
Dashboard → Updates
აქ შეგიძლიათ ნახოთ, არის თუ არა WordPress-ის ახალი ვერსია ხელმისაწვდომი.
თუ სერვერზე WP-CLI გაქვთ, მიმდინარე ვერსიის შემოწმება შესაძლებელია ბრძანებით:
wp core version
რა უნდა გააკეთონ WordPress-ის ადმინისტრატორებმა?
პირველ რიგში, გადაამოწმეთ WordPress Core-ის ვერსია და თუ იყენებთ დაუცველ გამოშვებას, განახლება დაუყოვნებლივ განახორციელეთ.
ასევე რეკომენდებულია განახლებამდე საიტისა და მონაცემთა ბაზის სარეზერვო ასლის შექმნა, ხოლო განახლების შემდეგ — ვებგვერდის მუშაობისა და უსაფრთხოების ჟურნალების შემოწმება.
თუ ავტომატური განახლება ჩართული გაქვთ, მხოლოდ მის იმედად ნუ დარჩებით — ხელით გადაამოწმეთ WordPress-ის მიმდინარე ვერსია.
თუ დაუყოვნებლივი განახლება ტექნიკური მიზეზების გამო შეუძლებელია, CERT Polska დროებით მიტიგაციად REST API-ზე წვდომის შეზღუდვას ან WAF-ის საშუალებით /wp-json/batch/v1 მარშრუტის დაბლოკვას ასახელებს. თუმცა REST API-ის მთლიანად დაბლოკვამ შესაძლოა WordPress-ის ან მისი ზოგიერთი ფუნქციის მუშაობა დაარღვიოს, ამიტომ ეს მხოლოდ დროებითი გამოსავალია.
WordPress Core-ში აღმოჩენილი უსაფრთხოების სისუსტეები განსაკუთრებით საყურადღებოა, რადგან ერთ-ერთი მათგანი ავტორიზაციის გარეშე Remote Code Execution-ის შესაძლებლობას ქმნის.
თუ თქვენი ვებგვერდი მუშაობს WordPress 6.8.x, 6.9.x ან 7.0.x ვერსიაზე, აუცილებლად გადაამოწმეთ ზუსტი ვერსია და დარწმუნდით, რომ უსაფრთხოების განახლება უკვე დაყენებულია.
კიბერუსაფრთხოების თვალსაზრისით WordPress Core-ის, პლაგინებისა და თემების რეგულარული განახლება ვებგვერდის დაცვის ერთ-ერთი ყველაზე მნიშვნელოვანი ნაწილია.
