Сайты на WordPress атакуют через уязвимость в механизме обновления
Изображение: OpenAI
Злоумышленники начали атаковать сайты на WordPress через уязвимость удалённого выполнения кода вскоре после выхода исправлений 28 октября, сообщает The Hacker News. Wordfence, разработчик средств защиты WordPress, заблокировала 62 969 таких попыток за 24 часа.
Для атаки нужно уложиться в короткий промежуток, когда WordPress распаковывает полное обновление ядра с установщиком. В обычных лабораторных условиях это окно длилось всего несколько секунд. Злоумышленники многократно отправляют запросы к файлам во временных каталогах, пытаясь поймать нужный момент.
Файлы обновления распаковываются во временный каталог внутри wp-content/upgrade, путь к которому можно предугадать. Если сервер разрешает доступ к нему через интернет и выполнение PHP, атакующий без авторизации может обратиться к установщику и добиться выполнения кода. Для этого ему нужно угадать или узнать путь и успеть завершить атаку до того, как WordPress удалит временные файлы.
Уязвимость затрагивает ядро WordPress версий с 4.7 по 7.1.3 и получила оценку 8,1 по CVSS. Идентификатор CVE ей пока не присвоили. Wordfence не сообщала об успешных взломах.
Владельцам сайтов рекомендуют установить WordPress 7.1.4. Исправления также перенесены в старые ветки вплоть до 4.7. Кроме обновления, стоит проверить:
- подозрительные запросы к PHP-файлам внутри
wp-content/upgrade; - незнакомые учётные записи администраторов;
- неизвестные плагины или PHP-файлы на сайте.
