כשוורדפרס מעדכן את עצמו הוא לא מחליף קבצים אחד אחד. הוא פורק את החבילה החדשה לתיקיית ביניים בשם wp-content/upgrade, עובד משם, ואחר כך מנקה. לכמה שניות יושב בתיקייה הזאת עותק שלם של וורדפרס, כולל אשף ההתקנה הראשונית, בנתיב שאפשר לנחש ושבהרבה שרתים אפשר להגיע אליו ישר מהדפדפן.

מה קרה

ב-28 באוקטובר יצאה גרסה 7.1.4 של וורדפרס ותיקנה 22 חולשות ב-17 התרעות, ובהן אחת שמאפשרת לתוקף להריץ קוד על השרת בלי שום חשבון באתר. היא לא קיבלה מספר CVE, ולפי The Hacker News הציון שלה הוא 8.1 מתוך 10. על הגילוי חתום החוקר אומוט באיירם.

הרעיון פשוט. התוקף שולח בקשות לנתיב של אשף ההתקנה בתוך תיקיית הביניים, שוב ושוב, ומחכה לרגע שבו אתר מסוים מעדכן את עצמו. אם הוא פגע בשניות האלה, העותק המועתק מגיב לו, והוא ממשיך משם להרצת קוד. לסוג המתקפה שבנוי על לתפוס רגע קצר שבו המערכת נמצאת במצב ביניים קוראים race condition, מרוץ.

וזה בדיוק מה שנמדד בשטח. Wordfence מדווחת שחסמה 62,969 ניסיונות תקיפה על החולשה הזאת במהלך יממה אחת, והמספר הוא ספירה שלה באתרי הלקוחות שלה ולא נתון עצמאי. אלכס תומאס, שמוביל את צוות התגובה של החברה, מתאר ששני המקורות הגדולים ביותר דפקו על קבוצות קטנות של אתרים במשך כ-14.5 שעות רצוף, התנהגות שמתאימה לניסיון לתפוס את חלון העדכון. מצד שני, החוקרים עצמם דירגו את מורכבות הניצול כגבוהה, כי בתנאי מעבדה החלון נמשך שניות בודדות. בגרסה החדשה וורדפרס מוסיף 16 תווים רנדומליים לשם תיקיית הביניים ומחזיר אליה קובץ index.php שמונע הצגת תוכן התיקייה, כך שהנתיב כבר לא ניתן לניחוש.

למה זה חשוב לכם

אם יש לכם אתר, גם אתר קטן של עסק, קליניקה או עמותה, סביר מאוד שהוא רץ על וורדפרס. הקוד הבעייתי קיים עוד מגרסה 2.8, והתיקון הופץ אחורה עד 4.7.39, כלומר זה נוגע גם לאתרים שלא עודכנו שנים.

ומי שאין לו אתר עדיין נוגע בזה מהצד השני: אתר ישראלי קטן שנפרץ הוא בדיוק מה שמשמש אחר כך לאחסון עמודי פישינג (עמודים מזויפים שמתחזים לבנק או לדואר ישראל) שנשלחים בהודעות לכולנו.

מה עושים?

אם האתר שלכם על וורדפרס, היכנסו ללוח הבקרה, ללשונית העדכונים, ועדכנו לגרסה 7.1.4 או לתיקון המקביל בענף שלכם: 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14 או 6.4.14. בזמן שאתם שם, הדליקו עדכוני ליבה אוטומטיים.

בקשו מחברת האחסון לחסום גישה מהאינטרנט לתיקיית wp-content/upgrade. שימו לב שתוסף אבטחה בתוך וורדפרס לא יעזור כאן, כי העותק שבתיקייה רץ בלי התוספים של האתר.

עברו על רשימת המשתמשים ובדקו שאין שם חשבון מנהל שאתם לא מכירים, ושלא נוספו תוספים או קבצי PHP שלא התקנתם.

צמצמו את מספר האנשים שיש להם הרשאת כותב ומעלה באתר. כמעט כל 21 החולשות האחרות בעדכון הזה דורשות הרשאה כזאת כדי לנצל אותן, וזה הופך כל חשבון כזה שכבר לא בשימוש לדלת פתוחה.