WordPressi PHP turvaauk PHP2Shell: mida haldajad peavad tegema

Lühidalt: WordPressi PHP turvaauk, millest praegu teatatakse, ei asu WordPressis, vaid selle all töötavas serveri PHP-s. WordPressi uuendus seetõttu PHP2Shelli ei sulge. Otsustavad on PHP paigatase, kõigi PHP protsesside taaskäivitus ja tüüpiliste peidukohtade, näiteks wp-content/uploads ja mu-plugins, kontroll.

Miks WordPressi uuendus PHP2Shelli ei kõrvalda

WordPress on PHP-s kirjutatud rakendus. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 asuvad ühe taseme võrra sügavamal, PHP interpretaatoris endas. PHP meeskonna andmetel võimaldavad need kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. Apache'i ja mod_php puhul näidati ekspluateerimist enne, kui WordPressi kood üldse käivitub.

Veebisait, millel on ajakohane tuumik, ajakohased pluginad ja tugevad paroolid, võib seega ikkagi olla ründamisele avatud, kui selle all olev PHP on vana. Teisalt ei tõesta paigatud PHP, et varem midagi ei juhtunud. Taustu selgitame lehel Mis on PHP2Shell?.

WordPressi PHP turvaauk: PHP versiooni kontrollimine

Armatuurlaua menüüs Tööriistad > Saidi tervis > Aruanne näete jaotises „Server“ PHP versiooni, millega teie veebisait tegelikult töötab. See on usaldusväärsem kui php -v käsureal, sest käsurida kasutab sageli teist PHP paigaldust kui veebiserver.

Ainuüksi kuvatud number siiski ei piisa. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Paljud majutajad toovad parandused aga sisse tagasiportimisena; siis jääb nähtavale vanem number, kuigi paik on peal. Kuidas tegelikku seisu välja selgitada, on kirjas lehel PHP versiooni ja paigataseme õige kontroll. Milliseid PHP versioone teie WordPressi versioon toetab, kontrollige wordpress.org süsteeminõuete järgi.

Kus kahjulik kood WordPressis meelsasti peidus on

Pärast edukat rünnakut jätavad ründajad tavaliselt tagaukse, et pärast paika tagasi tulla. WordPressis on selleks teada kohad:

• wp-content/uploads/: mõeldud piltidele ja PDF-idele, mitte PHP failidele.
• wp-content/mu-plugins/: „Must-use“-pluginad laetakse automaatselt ja neid ei saa armatuurlaual välja lülitada.
• wp-config.php: sisaldab andmebaasi juurdepääsu ja turvavõtmeid; sisse lükatud rida jääb siin vaevu silma.
• .htaccess peakataloogis ja alamkaustades: suunamised ainult otsingumootoritele või ebatavaliste failitüüpide käivitamine.
• Teemad, eriti functions.php, samuti välja lülitatud, unustatud pluginad.
• Andmebaas: uued administraatorid tabelis wp_users, võõras JavaScript tabelis wp_options või postitustes.

Ohutud esimesed kontrollid WP-CLI ja sisseehitatud vahenditega:

# Tuumikufailide võrdlemine ametlike kontrollsummadega
wp core verify-checksums
# wordpress.org kataloogi pluginate kontrollimine
wp plugin verify-checksums --all
# PHP failide loetlemine üleslaadimiskaustas
find wp-content/uploads -type f -name "*.php"
# Kõigi administraatorite kuvamine
wp user list --role=administrator

Tabamus on põhjus põhjalikuks uurimiseks, mitte veel tõend. Kaubanduslikke plugin'aid ei saa nii kontrollida. Põhjalikumalt jätkab juhend Tagauste leidmine WordPressis.

Pluginad, teemad ja administraatori ligipääsud lisariskina

PHP2Shell ei vaja plugina turvaauku. Igapäevaselt on pluginad ja teemad siiski WordPressi veebisaitide kõige sagedasem sisenemistee. Iga plugin toob kaasa oma koodi, oma üleslaadimisfunktsioonid ja oma uuendustsüklid. Kasutamata pluginad tuleks kustutada, mitte ainult välja lülitada, sest väljalülitatud failid jäävad serverisse alles.

Failide wp-login.php ja wp-admin puhul kehtib: vähe administraatoreid, isiklikud kontod jagatud ligipääsude asemel ja kaheastmeline autentimine. Kui te XML-RPC-d ei vaja, võib selle blokeerida. Kahtluse korral tuleks uuendada kõik paroolid ja failis wp-config.php olevad turvavõtmed. Armatuurlaua failiredaktori lülitate samuti seal välja:

define( 'DISALLOW_FILE_EDIT', true );

Mida peaksite WordPressi haldajana nüüd tegema

1. Laske majutajal kirjalikult kinnitada PHP paigatase ja kõigi PHP protsesside taaskäivitus.
2. Laske serveri logid alates 20.10.2026 säilitada.
3. Tehke ülaltoodud kontrollid ise või laske need teha.
4. Uuendage WordPress, pluginad ja teemad. See on õige, kuid ei asenda sammu 1.
5. Kõrvalekallete korral ärge veebisaiti lihtsalt edasi kasutage, vaid laske see puhastada.

Platvormi uuendus võib sulgeda teadaolevad augud WordPressis ja pluginates. See ei saa parandada PHP-d ega eemaldada sissetoodud faile, mis ei kuulu tuumiku juurde.

Kuidas PHP SOS konkreetselt aitab?

• Selgitame koos teie või teie majutajaga välja teie WordPressi veebisaidi tegeliku PHP seisu, sealhulgas tagasiportimised ja taaskäivituse.
• Varundame logid, failid ja andmebaasi enne, kui midagi muudetakse.
• Kontrollime tuumikut, pluginaid, üleslaadimisi, mu-plugins'it, .htaccess-i ja kasutajakontosid tagauste suhtes.
• Leidude korral viib puhastamise lõpuni meie pahavara eemaldamine, kuni intsident on lõpetatud ja dokumenteeritud; leidude puudumisel karastame paigalduse PHP2Shelli kohese abi raames.

Korduma kippuvad küsimused

Allikad

• php.net: turvateated
• PHP 8 ChangeLog
• WordPress.org
• BSI (Saksamaa föderaalne infoturbeamet)