Twice this year, attackers started exploiting a critical WordPress core flaw within hours of the fix going public: the wp2shell flaws in July, and CVE-2026-87902 on September 22, the day WordPress 7.1.2 shipped. If your sites wait for a monthly maintenance window, your patch policy is the first thing to change.
Ano ang nangyari sa wp2shell noong Hulyo
Two flaws, tracked as CVE-2026-60137 (SQL injection) and CVE-2026-63030 (arbitrary code execution), can be chained to run code on a WordPress server without logging in. Searchlight Cyber reported that they affect WordPress 6.9.0 through 6.9.4 and 7.0.0 through 7.0.1, even on a standard install with no plugins. WordPress released fixes in versions 6.9.5 and 7.0.2.
Iniulat ng mga kumpanya ng seguridad ang mga unang pag-atake sa loob ng ilang oras ng pagsisiwalat, at lumitaw ang mga patunay-ng-konseptong pagsasamantala mula sa iba pang mga mananaliksik pagkatapos. Sinabi ng Automattic sa TechCrunch na ang WordPress.com, Pressable, WPVIP at WP.cloud ay protektado bago ang mga patch ay pampubliko, kaya ang mga self-host na site na hindi nag-update ay awtomatikong nagdadala ng pinakamalaking panganib.
Ano na naman ang nangyari noong Setyembre 22
Noong Setyembre 22, WordPress ipinadala ang bersyon 7.1.2 na may pagsasaayos para sa CVE-2026-87902, isang kritikal na depekto sa kung paano niresolba ng core ang mga template ng pahina. Ang mga ulat na binabanggit ang WordPress.org announcement rate ay 9.2 sa CVSS 4.0 at sinasabing nakakaapekto ito sa mga release mula 4.7.0 hanggang 7.1.1 maliban kung may inilapat na backport ng seguridad. Na-backport din ng WordPress ang pag-aayos sa mga lumang branch, kasama ang 7.0.6 at 6.9.9.
Naitala ng Patchstack ang unang pagtatangka sa pagsasamantala sa 11:49 UTC sa parehong araw, ayon sa mga ulat. Ang aming 7.1.2 checklist ng update sa seguridad sumasaklaw sa kung ano ang ibe-verify sa isang site.
Ano ang binago ng AI, at kung ano ang hindi napatunayan
Si Benjamin Harris ng WatchTower, na sinipi ng Techzine pagkatapos ng wp2shell, ay nagsabi na ang proof-of-concept code ay dating lumalabas mga isang araw pagkatapos ng pagsisiwalat at ngayon ay lumalabas sa loob ng ilang oras, bahagyang dahil ang mga tool na pinapagana ng AI ay tumutulong sa mga mananaliksik at mga umaatake na magsuri at mag-automate nang mas mabilis.
Ang mga modelong vendor ay gumagalaw sa parehong paraan. Sinasabi ng Google na ang bago nitong Gemini 4 Argon ay maaaring makapagsasarili na maghanap, mag-validate at mag-patch ng mga kritikal na kahinaan sa software, at nagbibigay muna ito ng maagang pag-access sa mga pinagkakatiwalaang cyber defender. Inililista ng OpenAI ang hiwalay na mga modelong nakatuon sa cyber sa page ng pagpepresyo nito.
Wala sa mga ito ang nagpapatunay na ang AI ay nagdulot ng isang partikular na pag-atake. Ang praktikal na punto ay mas makitid: magplano ng mas kaunting oras sa pagitan ng pampublikong pagpapayo at pagsasamantala.
Isang patch policy na maaari mong gamitin
Ang mga target na ito ay isang panimulang punto, hindi isang pamantayan. Ayusin ang mga ito sa iyong panganib at sa kung gaano kabilis ang iyong pagsubok.
Isakatuparan ang mga ideyang ito.
Mula sa isang partikular na pag-aayos hanggang sa buong website, tutulungan ka naming linawin ang saklaw at maisagawa ito.
Pag-usapan ang website koAdvanced na Mga Solusyon sa Seguridad ng WordPressIbahagi ang iyong mga layunin. Karaniwan kaming tumutugon sa loob ng 4 na oras na may mga tanong at praktikal na susunod na hakbang.
Limang hakbang upang ilagay ito sa lugar
- Alamin kung ano ang iyong pinapatakbo. Maglista ng mga bersyon ng core, plugin at tema para sa bawat site. Sa WP-CLI:
wp core version wp core check-update wp plugin list --update=available wp theme list --update=available- Panoorin ang mga tamang mapagkukunan. Sundin ang news feed ng WordPress.org at ang mga abiso sa seguridad ng iyong host, at magtalaga ng isang tao na magbasa nito araw-araw.
- Gumamit ng pagtatanghal ng dula, ngunit time-box ito. Subukan ang kritikal na update sa isang kopya, tingnan ang mga pangunahing paglalakbay, pagkatapos ay i-deploy. Kung pagsubok stalls, patch produksyon at pagsubok pagkatapos.
- Takpan ang puwang na may proteksiyon na layer. Maaaring harangan ng firewall ng web application ang mga kilalang exploit pattern bago mo matapos ang pag-patch. Na-on ni Cloudflare ang mga karagdagang panuntunan sa pag-detect para sa wp2shell, ayon sa Techzine. Binabawasan ng firewall ang panganib. Hindi ito kapalit ng update.
- I-verify at i-record. Tandaan ang naka-install na bersyon, sino ang nagsuri kung ano, at kung ano ang bukas pa.
Ang aming gabay sa triage ng patch ng seguridad sumasaklaw sa order ng desisyon nang mas detalyado.
Kung ikaw ay nasa likod sa isang kritikal na patch
Tratuhin ang isang site na nagpatakbo ng isang apektadong bersyon nang hindi nag-a-update bilang posibleng nakompromiso. Suriin para sa mga bagong administrator account, binagong mga pangunahing file at hindi pamilyar na mga file sa PHP:
wp user list --role=administrator wp core verify-checksumsKung may mukhang mali, itigil ang paggawa ng mga pagbabago at humingi ng tulong. Ang aming emergency na serbisyo sa pagbawi ng na-hack na site ay maaaring makatulong sa iyo na itago ang problema at linisin ito.
Mga madalas itanong
Gaano kabilis ko dapat i-patch ang isang kritikal na WordPress kahinaan?
Layunin ng 24 oras, at hindi hihigit sa 72. Triage sa loob ng ilang oras, pagkatapos ay i-update ang produksyon kapag pumasa sa mabilis na pagsubok ang mga pangunahing paglalakbay.
Ginagawa ba ng mga awtomatikong pag-update ang isang patakaran sa patch na hindi kailangan?
Hindi. Nakakatulong ang mga awtomatikong pag-update, ngunit hindi lahat ng site ay pinagana ang mga ito, at madalas na magkahiwalay na nag-a-update ang mga plugin at tema. Sinasabi sa iyo ng isang patakaran kung sino ang tumitingin, kung gaano kabilis at kung ano ang mangyayari kapag nabigo ang isang pag-update.
Ginagawa ba ng AI ang WordPress na hindi gaanong ligtas?
Wala sa mga source na sinuri namin ang nagpapakita ng WordPress mismo na humihina. Ang inilalarawan ng mga mapagkukunan ay kung gaano kabilis nasuri at pinagsamantalahan ang mga bahid pagkatapos ng pagbubunyag.
Hindi sigurado na sakop ang iyong mga site?
Tumatakbo kami Pagpapanatili ng WordPress at seguridad trabaho na kinabibilangan ng pagsubaybay sa patch, mga pagsusuri sa pagtatanghal at pagsubaybay. Ipadala sa amin ang iyong listahan ng site at sasabihin namin sa iyo kung nasaan ang mga puwang.
