Instalarea remedierii pentru o vulnerabilitate exploatată din WordPress poate expune unele site-uri

Anumite site-uri WordPress pot fi în continuare atacate chiar și în timpul instalării remedierii pentru o vulnerabilitate exploatată în mod activ, a semnalat un specialist.

Actualizarea care instalează remedierea continuă să dezarhiveze fișierele folosind codul vechi, neactualizat al site-ului, astfel încât un atacator care acționează la momentul potrivit poate rula cod pe server. Specialistul recomandă blocarea accesului web la folderul wp-content/upgrade al site-ului înainte de actualizare.

Vulnerabilitatea, înregistrată ca CVE-2026-119977, afectează versiunile WordPress de la 4.7 până la 7.1.3. În timpul unei actualizări a nucleului care utilizează un pachet complet, WordPress dezarhivează o copie a noii versiuni într-un folder temporar din interiorul wp-content/upgrade. Această copie include programul de instalare WordPress, iar serverul web poate, de obicei, să o acceseze.

Un atacator care nu deține un cont, dar care poate afla numele folderului și poate accesa programul de instalare înainte ca WordPress să șteargă copia, poate ajunge să execute cod pe server.

WordPress a lansat remedierea săptămâna trecută în versiunea 7.1.4 și în actualizările corespunzătoare pentru versiunile mai vechi, începând cu 4.7, toate fiind enumerate în avizul său de securitate.

Remedierea atribuie folderului temporar un nume aleatoriu. Însă actualizarea care instalează remedierea dezarhivează fișierele folosind vechiul cod existent deja pe site, așa cum arată codul programului de actualizare al WordPress. Pe site-urile care rulează versiunea 5.9 sau o versiune ulterioară, acel cod vechi denumește folderul după fișierul descărcat, astfel încât numele poate fi prevăzut pentru ultima oară.

Înainte de remediere, un atacator putea folosi programul de instalare pentru a scrie un nou fișier de configurare, wp-config.php, în copia temporară. Actualizarea ar fi suprascris apoi fișierul real al site-ului cu acel fișier. Partea din remediere care împiedică acest lucru funcționează deja în timpul actualizării care o instalează, deoarece WordPress copiază fișierele în locația corespunzătoare folosind noul cod.

Nu orice actualizare expune programul de instalare, afirmă specialistul. Pachetele complete includ întotdeauna fișierele programului de instalare. Un pachet parțial mai mic, creat pentru o anumită versiune inițială, expune un site doar dacă se întâmplă să le conțină.

Pe site-urile care permit actualizări automate în fundal, WordPress instalează remedierea automat, prin același program de actualizare și aceiași pași.

Pentru actualizările din cadrul aceleiași ramuri, cum ar fi de la 7.1.3 la 7.1.4, acesta oferea un pachet parțial, inclusiv pentru actualizările automate. Pentru trecerea de la o ramură mai veche, cum ar fi de la 7.0.7 la 7.1.4, acesta oferea doar pachete complete.

În versiunile de la 4.4 până la 5.8, vechiul cod adaugă caractere aleatorii la numele folderului. Acest lucru ascunde numele, cu excepția cazului în care site-ul îl dezvăluie într-un alt mod, de exemplu într-un mesaj de eroare, afirmă specialistul.

Odată ce se instalează versiunea 7.1.4 sau o remediere din ramură, actualizările ulterioare utilizează un nume de folder aleatoriu, iar fișierul wp-config.php din copia temporară nu este niciodată copiat peste cel real.

Sursă: https://thehackernews.com/2026/11/installing-fix-for-exploited-wordpress.html