مهاجمان تنها کمتر از دو روز پس از انتشار وصله امنیتی برای یک آسیب‌پذیری در هسته وردپرس (WordPress Core)، شروع به بهره‌برداری از آن کردند. این نقص امنیتی به مهاجمان اجازه می‌دهد تا در حین فرآیند به‌روزرسانی سایت، کدهای مخرب خود را روی سرور اجرا کنند (RCE).
نسخه 7.1.4 وردپرس در تاریخ ۲۸ اکتبر برای رفع این حفره امنیتی منتشر شد، اما در کمتر از ۴۸ ساعت پس از عرضه، تلاش‌های گسترده‌ای برای اکسپلویت (Exploit) این آسیب‌پذیری مشاهده شد. شرکت امنیتی Wordfence اعلام کرد که تنها در یک بازه ۲۴ ساعته، ۶۲,۹۶۹ حمله هدفمند علیه این آسیب‌پذیری را مسدود کرده است.
جزئیات فنی و نحوه عملکرد آسیب‌پذیری
این آسیب‌پذیری که توسط محققان امنیتی کشف شده، یک ضعف زمانی (Timing Weakness) یا Race Condition در سیستم به‌روزرسانی وردپرس است. زمانی که وردپرس در حال انجام یک به‌روزرسانی کامل (Full-package update) است، فایل‌های جدید را در یک دایرکتوری موقت با نامی قابل پیش‌بینی استخراج می‌کند. این دایرکتوری از طریق وب قابل دسترسی است.
اگر یک کاربر غیرمجاز بتواند در بازه زمانی بسیار کوتاهی (گاه تنها چند ثانیه) قبل از پاکسازی فایل‌ها توسط سیستم، به این مسیر دسترسی پیدا کند، می‌تواند سرور را فریب داده و کدهای PHP دلخواه خود را اجرا کند. برای موفقیت در این حمله، چهار شرط باید همزمان برقرار باشند:
- در حال انجام یک به‌روزرسانی کامل هسته وردپرس باشد.
- دسترسی وب به پوشه موقت وجود داشته باشد.
- مسیر پوشه قابل حدس باشد.
- مهاجم بتواند در پنجره زمانی بسیار کوتاه قبل از حذف فایل‌ها، اقدام کند.
نسخه‌های آسیب‌پذیر و اقدامات لازم
طبق گزارش‌های منتشر شده، تمامی نسخه‌های وردپرس از 4.7 تا 7.1.3 در معرض این خطر قرار دارند. تیم وردپرس اعلام کرده است که وصله‌های امنیتی را برای تمامی نسخه‌های تحت پشتیبانی (Backport) منتشر کرده است. نسخه‌های اصلاح شده شامل 7.0.8، 6.9.11، 6.8.12 و 5.9.20 هستند.
با توجه به حجم بالای حملات خودکار و ماهیت بحرانی این آسیب‌پذیری که می‌تواند منجر به کنترل کامل سرور شود، به تمامی مدیران سیستم و سازمان‌ها توصیه می‌شود بدون تأخیر نسبت به به‌روزرسانی سایت‌های خود اقدام کنند. در حال حاضر هیچ راهکار جایگزینی (Workaround) به جز اعمال وصله امنیتی وجود ندارد.
