240,000 napada na WordPress jezgro

Korisnici sistema WordPress suočili su se sa napadima neovlaštenog izvršavanja kôda na daljinu (RCE), budući da su zlonamjerni akteri iskoristili kritičnu ranjivost u osnovnom procesu nadogradnje, označenu kao CVE-2026-119977. U periodu od kraja oktobra do početka novembra 2026. godine zabilježeno je više od 240.000 blokiranih pokušaja iskorištavanja, pri čemu su napadi bili usmjereni na predvidljive direktorije za pripremu tokom nadogradnji.

WORDPRESS RANJIVOST

Krajem oktobra otkrivena je kritična ranjivost u osnovnom procesu nadogradnje sistema WordPress, koja je iskorištavala predvidljive privremene putanje tokom ažuriranja, čime se omogućavalo neovlašteno izvršavanje kôda.

Ranjivost je funkcionisala poput otvorenog prozora u bezbjednosnom sistemu, pri čemu su direktoriji sa instalacionim datotekama bili privremeno izloženi prije aktiviranja rutina za čišćenje. Zlonamjerni akteri su to iskoristili ispitivanjem izloženih URL adresa, poput /wp-content/upgrade/wordpress-6.9.11/setup-config.php, s ciljem ubacivanja zlonamjernog PHP kôda i kreiranja administratorskih naloga bez potrebe za pristupnim podacima.

Ispravka 7.1.4 za sistem WordPress uvela je nasumično formirane nazive direktorija i ograničenja pristupa, ali je u roku od nekoliko dana zabilježeno više od 240.000 pokušaja, što ističe trajni rizik za neažurirane instalacije.

Međusobno djelovanje automatizovanih skenera i kratkotrajnih prozora izloženosti naglašava širu tenziju: čak i male prilike za iskorištavanje mogu prerasti u masovne napade kada se zloupotrijebe putem platformi za dijeljenje kôda.

 

Osnovni mehanizam iskorištavanja

Vremensko preklapanje operacija između provjere i upotrebe (eng. time-of-check to time-of-use – TOCTOU) javlja se kada sistem WordPress raspakuje paket za potpunu nadogradnju jezgra u predvidljive direktorije unutar putanje /wp-content/upgrade/.

Ovaj proces ostavlja privremene instalacione datoteke, poput setup-config.php, dostupnim na internetu tokom kratkog perioda prije aktiviranja rutina za čišćenje. Tokom tog prozora, zlonamjerni akter može iskoristiti odsustvo trenutne provjere kako bi izvršio proizvoljni kôd bez provjere prava pristupa ili bilo kakve aktivnosti korisnika.

Predvidljive privremene putanje dodatno pogoršavaju rizik, čime se zlonamjernim akterima omogućava da pogode nazive direktorija na osnovu brojeva verzija u nazivima datoteka, poput wordpress-6.9.11/setup-config.php. Takva predvidljivost je u suprotnosti sa nasumično formiranim nazivima direktorija uvedenim u verziji 7.1.4 sistema WordPress, što ometa pokušaje automatizovanog ispitivanja jer otežava lociranje privremenih direktorija.

Neovlašteno izvršavanje zavisi od sposobnosti servera da obradi PHP datoteke unutar tih privremenih putanja prije nego što dođe do čišćenja. Zlonamjerni akteri se oslanjaju na ponovljene HTTP zahtjeve tokom nadogradnji kako bi povećali šanse za presretanje izloženih instalacionih skripti, pri čemu koriste vremensko preklapanje operacija za ubacivanje zlonamjernog sadržaja direktno u okruženje sistema WordPress, bez zahtijevanja pristupnih podataka za prijavu ili prethodnog pristupa.

Kao odgovor na ovu ranjivost, verzija 7.1.4 sistema WordPress uvodi nasumično formiranje za privremene direktorije i dodaje zaštitu indeksa radi sprječavanja listanja direktorija, čime se smanjuju prilike za zlonamjerne aktere da prepoznaju putanje pogodne za iskorištavanje.

Takve mjere za ublažavanje rješavaju osnovni uzrok uklanjanjem predvidljivih privremenih lokacija, uz istovremeno sprovođenje strožih kontrola nad privremenim datotekama tokom nadogradnji.

 

Taktike iskorištavanja

Zlonamjerni akteri mogu manipulisati kratkim prozorom tokom nadogradnji jezgra sistema WordPress slanjem ciljanih HTTP zahtjeva ka dostupnim instalacionim datotekama, pri čemu iskorištavaju predvidljive putanje prije nego što dođe do čišćenja.

Oni ubacuju prilagođene PHP skripte u privremene direktorije i koriste nedostatak zahtjeva za provjeru prava pristupa kako bi zaobišli standardne bezbjednosne provjere. Takav metod omogućava im izvršavanje proizvoljnog kôda bez potrebe za važećim korisničkim pristupnim podacima ili prethodnim pristupom administratorskom okruženju lokacije.

Iskorištavanje ove ranjivosti zasniva se na ubacivanju prilagođenih PHP skripti u privremene direktorije prije čišćenja, pri čemu se često ugrađuju skriveni ulazi (eng. backdoors) koji opstaju čak i nakon završetka procesa nadogradnje.

Kada se izvršavanje postigne, zlonamjerni akteri obično izrađuju administratorske naloge kako bi održali dugoročan pristup unutar ranjivih instalacija sistema WordPress, pri čemu koriste podrazumijevane ili pogođene lozinke za dalje podizanje nivoa privilegija. Taj korak osigurava dugoročnu kontrolu nad sistemima izloženim napadu, uprkos naknadnoj primjeni bezbjednosnih ispravki.

Tokom kratkog prozora kada su nadogradnje jezgra sistema WordPress aktivne, prednost se daje brzom iskorištavanju automatizacijom zahtjeva ka izloženim instalacionim datotekama širom više domena. Često se koriste skripte koje ispituju predvidljive strukture direktorija unutar putanje /wp-content/upgrade/, pri čemu se iskorištava kratkotrajna dostupnost tih resursa prije njihovog uklanjanja. Takav pristup smanjuje rizike od otkrivanja, uz istovremeno povećanje šansi za uspješnu infiltraciju tokom kritične faze nadogradnje.

Unutar ranjivih instalacija sistema WordPress, zlonamjerni akteri često otpremaju zlonamjerne PHP datoteke zajedno sa stvarnim instalacionim komponentama, čime se osigurava da se njihov kôd izvršava bez problema zajedno sa procesima na strani servera. Takva otpremanja često oponašaju standardne strukture datoteka sistema WordPress kako bi izbjegla osnovne bezbjednosne filtere, što zlonamjernim akterima omogućava da uspostave kanale za udaljeni pristup ili preuzmu osjetljive podatke bez pokretanja upozorenja od strane uobičajenih alata za nadzor. Uklapanje takvog zlonamjernog sadržaja u privremene direktorije ostaje ključni vektor za trajno iskorištavanje nakon nadogradnje.

 

Obrasci saobraćaja i vremenski okviri

Obim napada povezanih sa sistemom WordPress ističe koordinisanu kampanju koja cilja uski prozor za iskorištavanje ove ranjivosti. Više od 240.000 blokiranih zahtjeva zabilježeno je u roku od nekoliko dana od objavljivanja, pri čemu je najintenzivnija aktivnost samo 30. oktobra premašila 74.000 pokušaja. Nagli porast naglašava na koji način su masovni skeneri brzo identifikovali predvidljive privremene direktorije tokom nadogradnji, pri čemu su iskorištavali privremenu izloženost prije aktiviranja procesa čišćenja.

Grupa IP adresa pojavila se kao osnovni izvor tih ispitivanja, a obuhvata 103.59.160[.]171 i 185.177.72[.]61, koje su zajedno pokrenule hiljade zahtjeva dnevno. Te IP adrese ciljale su određene instalacione putanje poput /wp-content/upgrade/wordpress-6.9.11/setup-config.php, što odražava težište na direktorijume određene za verziju, umjesto na nasumično pogađanje. Taj obrazac ukazuje na to da su zlonamjerni akteri dali prednost nedavno ažuriranim instalacijama sistema WordPress kako bi povećali stopu uspješnosti tokom kritične faze nadogradnje.

Telemetrija alata Wordfence otkriva da korisnici besplatne verzije dobijaju pravila zaštitnog zida 30 dana nakon 28. oktobra, što se poklapa sa odgođenim ublažavanjem za korisnike koji nemaju plaćenu verziju.

Taj vremenski okvir stvara prozor u kojem su neažurirane lokacije ostaju izložene do 27. novembra, čime se naglašava hitnost pravovremenih ažuriranja. Uprkos tim mjerama, ogroman obim pokušaja ukazuje na trajno interesovanje zlonamjernih aktera za iskorištavanje infrastrukture sistema WordPress kroz ovu ranjivost.

 

Indikatori ugrožavanja

Dvostruki način djelovanja pri iskorištavanju ostavlja jasne tragove unutar infrastrukture sistema WordPress. Zlonamjerni akteri često ubacuju zlonamjerni sadržaj kroz POST zahtjeve koji ciljaju putanje /wp-content/upgrade, pri čemu zaobilaze standardne mehanizme za provjeru prava pristupa. Takav sadržaj često oponaša stvarne skripte za nadogradnju, ali obuhvata zamaskirani PHP kôd osmišljen za postojanost ili preuzimanje podataka.

Iako podrazumijevano bilježenje sistema WordPress možda neće zabilježiti sve takve odnose, nepravilnosti u obrascima zahtjeva, poput ponovljenih neuspjelih pokušaja pristupa datoteci setup-config.php sa nestandardnim korisničkim agentima, mogu ukazivati na aktivno ispitivanje.

Administratorski nalozi neovlašteno izrađeni tokom iskorištavanja često pokazuju nepravilnosti u svojim metapodacima. Na primjer, novi korisnici možda nemaju odgovarajuću provjeru elektronske pošte ili imaju korisnička imena koja odgovaraju poznatim obrascima imenovanja zlonamjernih aktera.

Internet lokacije sistema WordPress ugrožene kroz ovu ranjivost često pokazuju administratorske naloge sa povišenim privilegijama, ali bez povezane istorije prijava, što predstavlja znak upozorenja za ručne provjere. Ti nalozi su obično podešeni da zaobiđu standardna ograničenja korisničkih uloga sistema WordPress, čime se omogućava bočno kretanje unutar ekosistema sistema za upravljanje sadržajem.

Izmijenjene datoteke wp-config.php predstavljaju još jedan važan pokazatelj ugrožavanja sistema. Zlonamjerni akteri mogu promijeniti podatke za pristup bazi podataka ili dodati vlastite bezbjednosne ključeve i jedinstvene oznake kako bi zadržali pristup sistemu i nakon početnog upada.

U nekim slučajevima, zlonamjerni kôd se ubacuje direktno u konfiguracionu datoteku, poput funkcija skrivenog ulaza koje izvršavaju proizvoljne komande kada se aktiviraju određeni HTTP parametri. Administratori sistema WordPress trebalo bi pažljivo da pregledaju ovu datoteku i potraže neočekivane unose, poput novih konstanti kojima se određuju udaljene adrese ili dodatih funkcija koje mijenjaju podrazumijevano ponašanje jezgra sistema WordPress, a pritom nisu prilagođene konkretnoj verziji sistema.

Sumnjivi POST zlonamjerni sadržaj često obuhvata kodirane podatke koji pokušavaju upravljati internim stanjem sistema WordPress. Na primjer, zahtjevi mogu ciljati wp-admin/update-core.php sa izmišljenim parametrima nadogradnje osmišljenim da ponovo pokrenu ranjivi privremeni proces. Ovakav sadržaj često potiče iz opsega IP adresa povezanih sa automatizovanim skenerima, ali povremeno koristi posrednike sa stambenih mreža (eng. residential proxies) radi izbjegavanja otkrivanja.

Zapise sistema WordPress treba unakrsno provjeriti sa alatima za analizu mrežnog saobraćaja kako bi se otkrile takve nepodudarnosti, jer stvarne nadogradnje ne obuhvataju odnose sa instalacionim skriptama putem POST zahtjeva tokom rutina održavanja.

 

ZAKLJUČAK

Sistemski uticaji ove ranjivosti otkrivaju dublje izazove u oblikovanju bezbjednosti sistema za upravljanje sadržajem, u kojima mehanizmi za automatizovano ažuriranje često daju prednost praktičnosti u odnosu na ublažavanje rizika.

Iako je sistem WordPress uveo nasumično formiranje za privremene putanje nakon ispravke, ovaj incident naglašava na koji način predvidljivi procesi nadogradnje širom platformi ostaju trajni vektor napada. Oslanjanje na podrazumijevana podešavanja tokom ažuriranja stvara suštinsku nejednakost između korisničkog iskustva i strategija odbrane u dubinu, posebno u okruženjima u kojima su instalacije bez nadzora uobičajene.

Bezbjednosni alati trećih strana, poput Wordfence, odigrali su ključnu ulogu u ublažavanju iskorištavanja primjenom pravila zaštitnog zida u stvarnom vremenu, no njihova efikasnost zavisila je od vremenskih okvira usvajanja od strane korisnika, jer korisnici besplatne verzije dobijaju zaštitu 30 dana nakon početnog objavljivanja ispravke.

To kašnjenje ističe širi zaostatak između objavljivanja ranjivosti i operativnog odgovora, posebno za organizacije koje se oslanjaju na podrazumijevana ili zastarjela podešavanja. Uspjeh napada zavisio je ne samo od tehničkih propusta, već i od odsustva ograničenja na mrežnom nivou koja blokiraju pristup direktorijima /wp-content/upgrade, čime se naglašava na koji način se slojevite odbrane često zanemaruju tokom rutinskog održavanja.

Prozor za iskorištavanje tokom nadogradnji isto tako postavlja pitanja o filozofiji oblikovanja ažuriranja jezgra sistema za upravljanje sadržajem WordPress. Budući da nije zahtijevala provjeru prava pristupa, ova ranjivost je otkrila kritični propust: čak i potpuno ažurirani sistemi mogli su se privremeno vratiti u ranjiva stanja ako procesi ažuriranja nisu bili strogo kontrolisani.

Odluka agencije CISA da ovu ranjivost uvrsti u svoj katalog KEV označava rastuće prepoznavanje takvih prolaznih ranjivosti, no mnoge organizacije i dalje nemaju ujednačene protokole za nadzor saobraćaja povezanog sa nadogradnjama ili sprovođenje privremenih kontrola pristupa tokom prozora za ažuriranje.

Dugoročni trendovi ukazuju na to da će se obrasci iskorištavanja koji ciljaju faze nadogradnje sistema za upravljanje sadržajem razvijati kako zlonamjerni akteri usavršavaju metode za zaobilaženje mjera ublažavanja, poput nasumično formiranih putanja. Iako zaštita indeksa i prikrivanje direktorija u verziji 7.1.4 sistema WordPress smanjuju rizik, osnovna zavisnost od predvidljivih privremenih područja tokom ažuriranja ostaje sistemska ranjivost u osnovnim arhitekturama.

To stvara analitičku nepodudarnost: na koji način programeri sistema za upravljanje sadržajem WordPress mogu uskladiti automatizaciju prilagođenu korisnicima sa bezbjednosnim uslovima koji zahtijevaju nepredvidiva, prolazna stanja za kritične operacije? Šta ova ranjivost otkriva o budućnosti okvira za bezbjednost sistema za upravljanje sadržajem kada sami procesi ažuriranja postaju površine napada pogodne za iskorištavanje?

 

PREPORUKE

Otkrivanje ranjivosti koja omogućava neovlašteno izvršavanje kôda na daljinu (RCE) u jezgru sistema WordPress ukazalo je na kritični vremenski okvir tokom ažuriranja u kojem zlonamjerni akteri mogu iskoristiti predvidljive privremene direktorije radi sticanja pristupa serveru. S obzirom na to da su zlonamjerni akteri već pokrenuli desetine hiljada napada usmjerenih na ovaj problem, preporuke u nastavku mogu doprinijeti jačanju bezbjednosti i smanjenju izloženosti:

1. Izvršiti hitne nadogradnje na verziju 1.4 sistema WordPress ili novije verzije sa ispravkama u svim podržanim granama. Neažurirane instalacije ostaju ranjive tokom ažuriranja cijelog osnovnog sistema, što zlonamjerni akteri iskorištavaju pristupanjem privremenim direktorijima poput /wp-content/upgrade/. Nadogradnja osigurava da se nasumično formiranje naziva privremenih direktorija i druge ispravke primijene prije nego što se otvori bilo koji vremenski okvir za ažuriranje.
2. Vršiti praćenje u stvarnom vremenu za HTTP zahtjeve koji ciljaju putanje poput /wp-content/upgrade/* ili instalacione datoteke tokom ažuriranja osnovnog sistema. Zlonamjerni akteri često ispituju ove lokacije, a otkrivanje neobičnih obrazaca saobraćaja može spriječiti iskorištavanje prije nego što se privremeni direktorij očisti. Koristiti alate poput Wordfence ili prilagođena pravila zaštitnog zida radi dinamičkog blokiranja pokušaja neovlaštenog pristupa.
3. Primijeniti ograničenja na nivou internet servera kojima se onemogućava izvršavanje PHP kôda u direktorijima /wp-content/upgrade/. Budući da se zlonamjerni akteri oslanjaju na pristup instalacionim skriptama tokom ažuriranja, blokiranje ovih datoteka na nivou servera dodaje kritični sloj odbrane čak i ako je ažuriranje još uvijek u toku. Takva mjera sprječava izvršavanje zlonamjernog kôda bez obzira na vremensko preklapanje operacija.
4. Uspostaviti automatizovanu analizu zapisa radi označavanja zahtjeva koji vraćaju statusne kôdove HTTP 200 ili neobične pristupe datotekama tokom vremenskih okvira za ažuriranje. Zlonamjerni akteri često uspijevaju tako što dođu do instalacionih datoteka prije čišćenja, a zapisi mogu otkriti sumnjive aktivnosti povezane sa ranjivošću. Redovni pregled zapisa servera osigurava rano otkrivanje pokušaja iskorištavanja.
5. Unaprijediti podešavanja zaštitnog zida pravilima koja izričito ciljaju poznate putanje iskorištavanja poput /wp-content/upgrade/wordpress-6.9.11/setup-config.php. Napredni alati poput Wordfence pružaju ove zaštite, ali bi trebalo da i korisnici besplatnih verzija podese svoje zaštitne zidove da blokiraju pristup predvidljivim privremenim direktorijima nakon što se ispravke primijene.
6. Zahtijevati ručno odobrenje za ažuriranja osnovnog sistema u okruženjima u kojima automatske nadogradnje mogu izložiti privremene datoteke internetu. Iako su praktični, automatizovani procesi mogu nenamjerno ostaviti sisteme ranjivim ako privremene putanje ostanu dostupne tokom ili nakon ažuriranja. Ručni nadzor osigurava da bezbjednosne mjere poput nasumičnog formiranja naziva direktorija stupe na snagu prije nego što se bilo koje ažuriranje završi.
7. Uvesti alate za neprekidno skeniranje ranjivosti radi prepoznavanja neažuriranih instalacija sistema WordPress u cijeloj infrastrukturi. Budući da ovaj nedostatak pogađa verzije od 7 do 7.1.3, osiguravanje da sve internet lokacije koriste izdanja sa ispravkama od ključnog je značaja. Skeniranje pomaže u pronalaženju zaboravljenih ili neispravno podešenih instalacija koje bi i dalje mogle biti u opasnosti.
8. Razviti protokole za odgovor na incidente prilagođene iskorištavanju ranjivosti u vremenskim okvirima za ažuriranje. Čak i ako se ispravke primijene, zlonamjerni akteri su možda već ugrozili sisteme tokom prethodnih ažuriranja. Postojanje unaprijed određenih koraka za obuzdavanje i sanaciju osigurava brz oporavak u slučaju narušavanja bezbjednosti.
9. Sprovoditi stroge kontrole pristupa privremenim direktorijima podešavanjem internet servera (npr. Apache ili Nginx) da onemoguće prikazivanje sadržaja direktorija i ograniče izvršavanje PHP kôda. Predvidljive putanje su osnovni uzrok, pa ograničavanje odgovora servera na ove lokacije smanjuje izloženost tokom ažuriranja.
10. Osmisliti strategije za pravljenje rezervnih kopija koje uključuju provjere određene za verzije, čime se osigurava da rezervne kopije osnovnih datoteka sistema WordPress odražavaju verzije sa ispravkama prije nego što dođe do bilo kakvog ažuriranja. Ako je lokacija ugrožena tokom vremenskog okvira za ažuriranje, postojanje provjerenih rezervnih kopija nastalih nakon objavljivanja ispravke može ubrzati oporavak i spriječiti gubitak podataka.
11. Poboljšati obuku o bezbjednosnoj svijesti za administratore radi isticanja rizika neažuriranih sistema i važnosti pravovremenih ažuriranja. Budući da zlonamjerni akteri aktivno ispituju ovu ranjivost, čak i manja kašnjenja u primjeni ispravki povećavaju rizik od izloženosti. Obuka osigurava da timovi daju prioritet bezbjednosnim zadacima tokom kritičnih perioda poput objavljivanja ispravki.
12. Ograničiti izloženost instalacija sistema WordPress ograničavanjem pristupa administratorskim okruženjima (npr. /wp-admin/) putem formiranja liste dozvoljenih IP adresa ili provjere identiteta u više koraka (MFA). Iako nije direktno povezano sa nedostatkom u vremenskom okviru za ažuriranje, smanjenje ukupne površine napada smanjuje mogućnosti za iskorištavanje u drugim okolnostima.
13. Osigurati da su svi dodaci i teme usklađeni sa verzijama sistema WordPress sa ispravkama, jer dodaci trećih strana mogu ponovo uvesti ranjivosti ako ometaju procese ažuriranja osnovnog sistema. Redovno testiranje funkcionisanja nakon ažuriranja sprječava sukobe koji bi mogli ostaviti sisteme ranjivim tokom budućih ažuriranja.
14. Uvesti obavezu redovnih pregleda podešavanja servera radi provjere da li privremeni direktoriji ostaju nedostupni nakon ažuriranja. Zlonamjerni akteri mogu pokušati iskorištavanje čak i nakon što se ispravke primijene, pa je potvrda da rutine čišćenja i ograničenja pristupa funkcionišu ispravno od suštinskog značaja za dugoročnu bezbjednost.

Unaprijed osmišljenim rješavanjem ranjivosti kroz nadogradnje, praćenje i promjene podešavanja, administratori sistema WordPress mogu značajno smanjiti rizik od ugrožavanja tokom ažuriranja osnovnog sistema. Kombinacija tehničkih zaštitnih mjera i operativne discipline osigurava da se ovaj karakteristični nedostatak, kao i drugi slični njemu, efikasno ublaži u svim instalacijama.