Обнаружена критическая уязвимость в WordPress 4.7.0 и 4.7.1

Срочно обновите свой WordPress до версии 4.7.2, в более старых версиях найдена критическая уязвимость, через которую уже были атакованы более 100000 сайтов.


26 января 2017 авторы одной из самых востребованных на сегодняшний день бесплатных систем управления сайтом WordPress представили очередную версию 4.7.2. В релизе уточнялось, что в ней были устранены имевшие место в предыдущих проблемы с безопасностью, подробности которых не раскрывались. Только через неделю после этого выяснилось, что речь идет о критической уязвимости, позволяющей посторонним редактировать контент на сайте.

Баг в версиях WordPress 4.7.0 и 4.7.1 обнаружили эксперты компании Sucuri, обозначив его как расширение привилегий неавторизованных пользователей при помощи REST API. Благодаря этому посторонний мог изменять или удалять содержимое сайта, в том числе внедряя вредоносный код и рекламу. Возможности напрямую зависели от установленных плагинов, через шорткоды которых осуществлялось вмешательство.

По мнению разработчиков, семи дней было вполне достаточно для установки безопасной версии платформы, однако статистика показала, что обновиться успели далеко не все. Специалисты Sucuri зафиксировали быстрый рост количества атакованных сайтов на WordPress с момента оглашения информации о проблеме. Всего за три дня оно выросло с 500 до 3000 в день. На данный момент число подвергшихся атакам ресурсов исчисляется сотнями тысяч.

Эксперты отмечают, что пока уязвимостью пользуются в основном начинающие хакеры для развлечения, не нанося серьезного ущерба сайтам. Однако было зафиксировано и несколько случаев добавления рекламного контента. Не исключено, что в дальнейшем баг будут использовать с целью получения финансовой выгоды.