De două ori în acest an, atacatorii au început să exploateze o defecțiune centrală critică WordPress în câteva ore de la publicarea remedierii: defecțiunile wp2shell în iulie și CVE-2026-87902 în septembrie 22, ziua WordPress 7.1.2 de livrare. Dacă site-urile dvs. așteaptă o fereastră lunară de întreținere, politica dvs. de corecție este primul lucru care trebuie schimbat.
Ce s-a întâmplat cu wp2shell în iulie
Two flaws, tracked as CVE-2026-60137 (SQL injection) and CVE-2026-63030 (arbitrary code execution), can be chained to run code on a WordPress server without logging in. Searchlight Cyber reported that they affect WordPress 6.9.0 through 6.9.4 and 7.0.0 through 7.0.1, even on a standard install with no plugins. WordPress released fixes in versions 6.9.5 and 7.0.2.
Firmele de securitate au raportat primele atacuri în câteva ore de la dezvăluire, iar exploatările doveditoare de la alți cercetători au apărut la scurt timp după. Automattic a declarat pentru TechCrunch că WordPress.com, Pressable, WPVIP și WP.cloud au fost protejate înainte ca patch-urile să fie publice, așa că site-urile auto-găzduite care nu s-au actualizat automat prezintă cel mai mare risc.
Ce sa întâmplat din nou în septembrie 22
În septembrie 22, WordPress a livrat versiunea 7.1.2 cu o remediere pentru CVE-2026-87902, o defecțiune critică în modul în care core rezolvă șabloanele de pagină. Rapoartele care citează anunțul WordPress.org îl evaluează 9.2 pe CVSS 4.0 și spun că afectează versiunile de la 4.7.0 până la 7.1.1, cu excepția cazului în care a fost aplicat un backport de securitate. WordPress a retroportat, de asemenea, corecția în ramuri mai vechi, inclusiv 7.0.6 și 6.9.9.
Patchstack a înregistrat prima încercare de exploatare la 11:49 UTC în aceeași zi, conform rapoartelor. Noastre 7.1.2 Lista de verificare a actualizării de securitate acoperă ceea ce trebuie verificat pe un site.
Ce se schimbă AI și ce nu este dovedit
Benjamin Harris de la WatchTower, citat de Techzine după wp2shell, a spus că codul de dovadă a conceptului apărea la aproximativ o zi după o dezvăluire și acum apare în câteva ore, parțial pentru că instrumentele bazate pe inteligență artificială ajută cercetătorii și atacatorii să analizeze și să automatizeze mai rapid.
Vânzătorii de modele se mișcă în același mod. Google spune că noul său Gemini 4 Argon poate găsi, valida și corecta în mod autonom vulnerabilitățile software critice și oferă mai întâi acces timpuriu apărătorilor cibernetici de încredere. OpenAI listează modele separate axate pe cibernetica pe pagina sa de prețuri.
Nimic din toate acestea nu dovedește că AI a provocat un anumit atac. Punctul practic este mai restrâns: planificați mai puțin timp între o consiliere publică și exploatare.
O politică de patch pe care o puteți adopta
Aceste obiective sunt un punct de plecare, nu un standard. Ajustați-le la riscul dvs. și la cât de repede puteți testa.
Pune aceste idei în practică.
De la o îmbunătățire punctuală la un website complet, te ajutăm să definești scopul și să îl realizezi.
Discută despre website-ul meuSoluții avansate de securitate WordPressÎmpărtășește-ne obiectivele tale. Răspundem de obicei în 4 ore cu întrebări și pași practici următori.
Cinci pași pentru a-l pune la loc
- Știi ce alergi. Listați versiunile de bază, plugin și teme pentru fiecare site. Cu WP-CLI:
versiunea de bază wp wp core check-update lista de pluginuri wp --update=disponibil Lista temelor wp --update=disponibil- Urmăriți sursele potrivite. Urmați fluxul de știri WordPress.org și notificările de securitate ale gazdei dvs. și desemnați o persoană să le citească zilnic.
- Folosiți punerea în scenă, dar încadrați-l în timp. Testați actualizarea critică pe o copie, verificați călătoriile cheie, apoi implementați. Dacă testarea se blochează, producția de patch-uri și testați după.
- Acoperiți golul cu un strat protector. Un firewall de aplicație web poate bloca modelele de exploatare cunoscute înainte de a termina corecțiile. Cloudflare a activat reguli suplimentare de detectare pentru wp2shell, conform Techzine. Un firewall reduce riscul. Nu este un înlocuitor pentru actualizare.
- Verificați și înregistrați. Observați versiunea instalată, cine a verificat ce și ce este încă deschis.
Brieful Ghid de triaj a patch-urilor de securitate acoperă mai detaliat ordinul de decizie.
Dacă ai fi rămas în urmă într-o zonă critică
Tratați un site care a rulat o versiune afectată fără actualizare ca fiind posibil compromis. Verificați dacă există conturi de administrator noi, fișiere de bază modificate și fișiere PHP nefamiliare:
lista de utilizatori wp --role=administrator wp core verify-checksumsDacă ceva pare greșit, nu mai faceți modificări și obțineți ajutor. Noastre serviciul nostru de urgență pentru recuperarea site-urilor piratate vă poate ajuta să eliminați problema și să o curățați.
Întrebări frecvente
Cât de repede ar trebui să corectez o vulnerabilitate critică WordPress?
Țintește 24 ore și nu mai mult de 72. Triați în câteva ore, apoi actualizați producția odată ce călătoriile cheie trec un test rapid.
Actualizările automate fac inutilă o politică de corecție?
Nu. Actualizările automate ajută, dar nu toate site-urile le au activate, iar pluginurile și temele se actualizează adesea separat. O politică vă spune cine verifică, cât de repede și ce se întâmplă atunci când o actualizare eșuează.
Este AI care face WordPress mai puțin sigur?
Nimic din sursele pe care le-am analizat nu arată că WordPress în sine devine mai slab. Ceea ce descriu sursele este cât de repede sunt analizate și exploatate defectele după dezvăluire.
Nu sunteți sigur că site-urile dvs. sunt acoperite?
Fugim Întreținere WordPress și securitate lucru care include urmărirea patch-urilor, teste de punere în scenă și monitorizare. Trimite-ne lista de site-uri și îți vom spune unde sunt lipsurile.
