Xakerlar WordPress yangilanishidagi zaiflikdan foydalanmoqda
AQShning Kiberxavfsizlik va infratuzilma xavfsizligi agentligi (CISA) WordPress yadrosidagi zaiflik orqali amalga oshirilgan hujumlarni tasdiqladi. Muayyan sharoitlarda bu zaiflik serverda hisob qaydnomasisiz kod ishga tushirish imkonini beradi.
CISA WordPressʼning CVE-2026-119977 zaifligini tajovuzkorlar allaqachon foydalanayotgan xatolar katalogiga kiritdi. Muammo saytlarni boshqarish tizimining oʻzini yangilash mexanizmida joylashgan.
Hujum poygalashuv holati bilan bogʻliq — bunda operatsiya natijasi bir vaqtda bajarilayotgan bir nechta amal ketma-ketligiga bogʻliq boʻladi. Zaiflik WordPressʼning toʻliq yangilanishi oʻrnatilayotgan muayyan paytda begona shaxsga serverda kod ishga tushirish imkonini berishi mumkin.
Zaiflikdan foydalanish uchun maxsus sharoitlar va vaqt oynasiga aniq mos kelish talab etiladi. Bu istalgan saytni shunchaki sahifani ochish orqali buzish mumkin degani emas. Biroq CISA xatodan amalda foydalanilganini allaqachon tasdiqladi.
Tuzatish 28 oktabr kuni WordPress 7.1.4 tarkibida chiqarildi. Ishlab chiquvchilar xavfsizlik yangilanishini kechiktirmasdan oʻrnatishni tavsiya qilmoqda. Avtomatik fon yangilanishlari yoqilgan boʻlsa, jarayon oʻz-oʻzidan boshlanishi kerak, ammo sayt egalari amalda qaysi versiya oʻrnatilganini tekshirishi lozim.
CISA AQSh federal fuqarolik idoralariga muammoni 6 noyabrgacha bartaraf etishni majburiy qilib belgiladi. Bu muddat qolgan sayt egalari uchun majburiy emas, biroq agentlik ularga ham yangilanishga ustuvor eʼtibor qaratishni tavsiya qilmoqda.
Tuzatmani oʻrnatish zaiflikni yopadi, ammo buning oʻzi sayt yangilanishdan oldin buzib kirilgan-birilmaganini tasdiqlamaydi.
