W WordPressach znów gorąco: świeżo ujawnione błędy bezpieczeństwa są już wykorzystywane w atakach. Chodzi o łańcuch podatności znany jako wp2shell, który może pozwolić napastnikowi przejąć serwis zdalnie, m.in. przez wrzucenie webshella albo dorzucenie złośliwej wtyczki bez logowania.

Problem dotyczy wybranych wydań z linii 6.9.x i 7.0.x. WordPress wydał już łatki w wersjach 6.9.5 oraz 7.0.2, a w części instalacji uruchomiono też wymuszone automatyczne aktualizacje. To nie jest więc sytuacja w stylu „może kiedyś zaktualizuję”, tylko raczej „warto zrobić to teraz, zanim ktoś zrobi to za nas”.

W opisie naprawionych błędów pojawia się także nieautoryzowany SQL injection w rdzeniu systemu. Zestawienie kilku luk może prowadzić do pełnego przejęcia witryny, a badacze wskazują, że próby nadużyć są już widoczne w praktyce. Krótko mówiąc: łatka jest, ataki też są, a zwlekanie tradycyjnie bywa najdroższą opcją.

Radzę Wam z miejsca aktualizować strony, zgłoszeń na ratowanie stron pojawiło mi się sporo.