Άμεση αναβάθμιση των εγκαταστάσεων WordPress συστήνουν οι ειδικοί κυβερνοασφάλειας, μετά την αποκάλυψη μιας ιδιαίτερα κρίσιμης ευπάθειας στον πυρήνα της δημοφιλούς πλατφόρμας διαχείρισης περιεχομένου. Η αδυναμία, η οποία έγινε γνωστή ως «wp2shell», μπορεί να επιτρέψει σε μη εξουσιοδοτημένους επιτιθέμενους να εκτελέσουν απομακρυσμένα κακόβουλο κώδικα και να αποκτήσουν πλήρη έλεγχο ενός ιστοτόπου.
Η σοβαρότητα της απειλής οφείλεται στο γεγονός ότι η επίθεση δεν προϋποθέτει την ύπαρξη λογαριασμού χρήστη, την εγκατάσταση ευάλωτου πρόσθετου ή κάποια ενέργεια από τον διαχειριστή. Σύμφωνα με τους ερευνητές της Searchlight Cyber, ακόμη και μια τυπική εγκατάσταση WordPress, χωρίς πρόσθετα και ειδικές παραμετροποιήσεις, μπορεί να είναι εκτεθειμένη.
Το wp2shell αξιοποιεί συνδυασμό αδυναμιών στο REST API του WordPress και σε λειτουργία διαχείρισης ερωτημάτων προς τη βάση δεδομένων. Μέσω ειδικά διαμορφωμένου αιτήματος, ένας εισβολέας μπορεί να παρακάμψει τους προβλεπόμενους ελέγχους, να πραγματοποιήσει SQL injection και τελικά να εκτελέσει εντολές στον εξυπηρετητή. Μια επιτυχημένη επίθεση μπορεί να οδηγήσει σε υποκλοπή ή αλλοίωση δεδομένων, εγκατάσταση κακόβουλου λογισμικού, δημιουργία κρυφών λογαριασμών διαχειριστή και αξιοποίηση του ιστοτόπου για νέες επιθέσεις.
Η ευπάθεια απομακρυσμένης εκτέλεσης κώδικα επηρεάζει τις εκδόσεις WordPress 6.9.0 έως 6.9.4 και 7.0.0 έως 7.0.1. Το πρόβλημα έχει διορθωθεί στις εκδόσεις 6.9.5 και 7.0.2, καθώς και στη δοκιμαστική έκδοση 7.1 Beta 2. Οι εγκαταστάσεις έως την έκδοση 6.8.5 δεν επηρεάζονται από την πλήρη αλυσίδα wp2shell. Ωστόσο, οι εκδόσεις 6.8.0 έως 6.8.5 επηρεάζονται από ξεχωριστή αδυναμία SQL injection και πρέπει να αναβαθμιστούν στην 6.8.6.
Οι διαχειριστές ιστοτόπων καλούνται να ελέγξουν άμεσα την έκδοση που χρησιμοποιούν και να μην θεωρήσουν δεδομένο ότι πραγματοποιήθηκε αυτόματη ενημέρωση. Πριν από την αναβάθμιση συνιστάται η δημιουργία πλήρους αντιγράφου ασφαλείας αρχείων και βάσης δεδομένων, ενώ μετά την εγκατάσταση της διόρθωσης πρέπει να εξεταστούν τα αρχεία καταγραφής για ύποπτη δραστηριότητα, νέους χρήστες, άγνωστα αρχεία ή μη εξουσιοδοτημένες αλλαγές.
Εάν η άμεση αναβάθμιση δεν είναι εφικτή, μπορεί προσωρινά να αποκλειστεί η μη πιστοποιημένη πρόσβαση στις διαδρομές /wp-json/batch/v1 και ?rest_route=/batch/v1 μέσω Web Application Firewall. Η παρέμβαση ενδέχεται να επηρεάσει νόμιμες λειτουργίες και δεν αντικαθιστά την ενημέρωση ασφαλείας.
Το περιστατικό αναδεικνύει την ανάγκη συνεχούς παρακολούθησης των βασικών συστημάτων ενός ιστοτόπου. Η έγκαιρη εγκατάσταση διορθώσεων, τα τακτικά αντίγραφα ασφαλείας και ο έλεγχος για ενδείξεις παραβίασης αποτελούν πλέον βασικές προϋποθέσεις επιχειρησιακής ασφάλειας.
