توسعهدهندگان وردپرس برای مقابله با یک آسیبپذیری بحرانی در هسته این سیستم مدیریت محتوا، بهروزرسانیهای اضطراری منتشر کردند. این نقص امنیتی میتواند به مهاجمان اجازه دهد بدون نیاز به احراز هویت، کدهای مخرب را روی سایتهای آسیبپذیر اجرا کنند.
وردپرس نسخههای امنیتی ۶٫۹٫۵ و ۷٫۰٫۲ را بهصورت اضطراری منتشر کرده است تا یک زنجیره حمله موسوم به wp2shell را برطرف کند. این آسیبپذیری از نوع اجرای کد از راه دور (Remote Code Execution) است و در صورت سوءاستفاده موفق، میتواند کنترل بخشهایی از یک وبسایت را در اختیار مهاجم قرار دهد.
حفره امنیتی وردپرس بدون نیاز به افزونه فعال میشود
اهمیت این آسیبپذیری از آنجا افزایش پیدا میکند که برای بهرهبرداری از آن، نیازی به نصب افزونه خاص یا پیکربندی پیچیده وجود ندارد. مهاجم میتواند در نسخههای پیشفرض وردپرس نیز از این ضعف امنیتی استفاده کند و کدهای مخرب خود را روی سرور اجرا کند.
به همین دلیل، این مشکل تنها کاربران افزونهها یا قالبهای خاص را هدف قرار نمیدهد و میتواند طیف گستردهای از وبسایتهای مبتنی بر وردپرس را تحت تأثیر قرار دهد.
توصیه امنیتی به مدیران سایتهای وردپرسی
براساس اعلام کارشناسان امنیتی، تاکنون گزارشی از سوءاستفاده فعال از این آسیبپذیری منتشر نشده است، اما مدیران وبسایتهایی که از نسخههای ۶٫۹٫۰ تا ۷٫۰٫۱ وردپرس استفاده میکنند، باید در سریعترین زمان ممکن نصب وصله امنیتی جدید را بررسی کنند.
کاربران میتوانند با اطمینان از فعال بودن بهروزرسانی خودکار یا نصب دستی آخرین نسخه وردپرس، خطر سوءاستفاده احتمالی از این حفره را کاهش دهند.
چرا وردپرس اینبار آپدیت اجباری منتشر کرد؟
وردپرس معمولاً بهندرت تصمیم مدیران سایتها برای غیرفعال کردن بهروزرسانیهای خودکار را نادیده میگیرد. انتشار این وصله به شکل اجباری نشان میدهد که تیم توسعه وردپرس، این آسیبپذیری را تهدیدی جدی برای امنیت میلیونها وبسایت در سراسر جهان میداند.
کارشناسان امنیتی نیز توصیه میکنند مدیران سایتها علاوه بر نصب این بهروزرسانی، نسخه وردپرس، افزونهها و قالبهای مورد استفاده خود را بهصورت منظم بررسی کنند تا احتمال نفوذ کاهش یابد.