WordPress-ի հազարավոր խոցելիություններ հրապարակվում են ամեն տարի, բայց գործնականում հարձակվում են դրանց միայն փոքր մասի վրա։ Professional IT Services-ի՝ հոկտեմբերի 20-ին հրապարակած 2026-ի երրորդ եռամսյակի ամփոփումը նայում է հենց դրանց։ Ահա կարճ ամփոփում և այն, թե ինչ է դա նշանակում սովորական բիզնես կայքի համար։ Մանրամասները վերցված են այդ զեկույցից, ուստի ձեր սեփական պլագինների համար ստուգեք մշակողների էջերը։
Ինչ շահագործվեց
- WordPress-ի միջուկ. երկու կապված թերություն՝ «wp2shell» մականունով (CVE-2026-60137 և CVE-2026-63030), ուղղված WordPress 7.0.2, 6.9.5 և 6.8.6 տարբերակներում՝ հուլիսի 17-ին։ Միջուկի մեկ այլ թերություն՝ ուղու անցում (CVE-2026-87902), ուղղվեց սեպտեմբերի 22-ին։
- Elementor Pro մինչև 4.2.1. առանց մուտքի ֆայլի վերբեռնման թերություն (CVE-2026-32475), ուղղված 4.2.2-ում՝ օգոստոսի 19-ին, հարձակումները սկսվեցին թողարկման օրը։
- WooCommerce Wholesale Lead Capture մինչև 2.0.3.1. թերություն (CVE-2026-27540), ուղղված 2.0.3.2-ում՝ փետրվարի 20-ին, բայց դեռ հարձակումների թիրախ էր հունիսից օգոստոս։
Եռամսյակի ավարտից անմիջապես հետո հարձակումները շարունակվեցին։ Ninja Forms-ի (մինչև 3.15.3) և WPC Product Bundles-ի (մինչև 8.6.6) պահպանված cross-site scripting թերությունները շահագործվեցին հոկտեմբերի 4-ից, իսկ հոկտեմբերին հարձակվողները նաև չարաշահեցին գողացված UpdraftCentral բանալիները։ Գողացված բանալիների համար կոդի ուղղում չկա, ուստի խորհուրդը դրանք ջնջելն ու նորերը ստեղծելն է։
Ինչ ենք սովորում
- Հարձակվողները արագ են շարժվում։ Որոշ թերություններ շահագործվեցին ուղղման թողարկման օրը, ուստի մեկ ամիս սպասելը իրական ռիսկ է։
- Հին ուղղումները դեռ կարևոր են։ Փետրվարին ուղղված թերությունը դեռ օգտագործվում էր ամռանը, քանի որ շատ կայքեր երբեք չթարմացվեցին։
- Ֆայլի վերբեռնման և ձևերի պլագինները կրկնվող թիրախ են։
- Page builder-ները և ձևերի պլագինները տեղադրված են միլիոնավոր կայքերում, ինչը նրանց գրավիչ է դարձնում։
- Բանալիներն ու թոքենները գաղտնաբառի պես են։ Հեռակա կառավարման բանալիները և API թոքենները վերաբերվեք որպես ադմին հաշիվների։
Գործնական կարգը բարդ չէ. միացրեք միջուկի ավտոմատ անվտանգության թարմացումները, շահագործվող պլագինները թարմացրեք նույն օրը, իսկ մնացած ամեն ինչը վերանայեք ամսական սպասարկման պատուհանում։
Հաճախ տրվող հարցեր
Արդյո՞ք հին խոցելիությունը կարևոր է, եթե վերջերս թարմացրել եմ
Թարմացումը փակում է անցքը, բայց եթե կայքը հարձակման է ենթարկվել թարմացումից առաջ, հետադուռը կարող է մնալ։ Մեծ միջադեպից հետո ստուգեք անծանոթ ադմիններին և ֆայլերը։
Ինչպե՞ս տեսնել՝ իմ պլագինները հայտնի խոցելիություններ ունեն
Օգտագործեք խոցելիությունների տվյալների բազա կամ անվտանգության պլագին, որը ստուգում է տարբերակները, և համեմատեք տեղադրված տարբերակները փոփոխությունների ցանկի հետ։
Պե՞տք է դադարեցնել page builder-ների օգտագործումը
Ոչ։ Լավ սպասարկվող builder-ները նորմալ են։ Պարզապես թարմ պահեք դրանք և խուսափեք իրար կրկնող բազմաթիվ հավելումներից։
Կարդացեք նաև
- WordPress-ի թարմացումներ, կրկնօրինակներ և խոցելիությունների մոնիթորինգ. պարզ կարգ
- Bricksforge պլագինի խոցելիությունը. ինչ տեղի ունեցավ և ինչպես շտկել
- Անհրաժեշտ WordPress պլագիններ բիզնես կայքի համար
Օգնություն է պետք WordPress կայքի անվտանգության համար։ Մենք առաջարկում ենք սպասարկում, թարմացումներ և անվտանգության ստուգում։ Կապվեք մեզ հետ
