WordPress 7.1.4 turvauuendus ja PHP2Shell nädal hiljem: mida kodulehe omanik peab nüüd tegema

Oktoober on olnud veebilehtede turvalisuse mõttes erakordselt tihe kuu. Pärast septembri WordPressi turvauuendusi ja 21. oktoobri PHP2Shelli turvaauku tuli nüüd järjekordne WordPressi turvauuendus. Selles postituses on kokkuvõte, mis muutus ja mida kodulehe omanik peab tegema.

WordPress 7.1.4: mida parandati?

WordPress 7.1.4 avaldati 28. oktoobril ja see on turvauuendus. Parandused viidi ka vanematesse versioonidesse kuni 4.7-ni (näiteks 7.0.8, 6.9.11 ja 6.8.12), kuid aktiivselt toetatakse ainult kõige uuemat versiooni.

• Uuendamise protsessi viga: uuenduse paigaldamise ajal võis ründaja teatud tingimustel serveris koodi käivitada, ilma et tal oleks kasutajakontot. Viga on kasutatav ainult need mõned sekundid, mil uuendus parasjagu käib, seega peetakse seda praktikas raskesti kasutatavaks – aga see on ka kõige tõsisem parandus.
• Mitu salvestatud XSS-viga: plokkides, Interactivity API-s, kategooriate ja kommentaaride lehekülgede plokkides, isikuandmete kustutamise taotlustes ja mujal. Enamik neist eeldab, et ründajal on kodulehel vähemalt kaastöölise (Contributor) või autori õigustega konto. Ohus on eelkõige lehed, kus sisu lisavad mitu inimest.
• Avaldamata muudatused: sisse logimata külastaja võis näha kohandaja (Customizer) avaldamata muudatusi.
• Muud parandused: brauseri hangumist põhjustav viga Interactivity API-s, märkmete õiguste viga ja uuendatud juursertifikaadid.

Kas WordPress 7.1.4 paigaldub ise?

Kui automaatsed taustauuendused on sisse lülitatud (vaikimisi on need väikeste uuenduste puhul sees), paigaldab WordPress 7.1.4 ise. Kontrolli seda halduses Töölaud → Uuendused. Kui kasutad eraldi Gutenbergi pluginat, uuenda ka see – osa parandusi tuleb plokiredaktorist.

PHP2Shell nädal hiljem: rünnakud on kinnitatud

21. oktoobril parandatud PHP kriitiliste turvaaukude (CVE-2026-109618 ja CVE-2026-109619) kohta on vahepeal selgunud mitu olulist asja:

• Aktiivsed rünnakud: CISA lisas 26. oktoobril mõlemad vead aktiivselt rünnatud haavatavuste nimekirja. 24. oktoobril õnnestus ründajatel turvauurijate lõksserverites (honeypot) koodi käivitada.
• WordPressi lehed: turvafirma Wordfence teatas 28. oktoobril, et ei tea veel ühtegi WordPressi lehte, mis oleks PHP2Shelli kaudu häkitud – kuid ründekatseid nähakse pidevalt.
• Uus seotud viga: 23. oktoobril teatas PHP veel ühest veast (CVE-2026-115560), millele parandust veel pole. See puudutab ainult kindlat seadistust, kus rakendus muudab sessioonide salvestamise viisi, ja ajutine kaitse on sama mis varem: seade session.upload_progress.enabled = 0. Parandus tuleb PHP järgmises tavapärases uuenduses.

Kui sa pole veel kontrollinud, kas sinu serveri PHP on uuendatud, tee seda kohe. Täpsemad juhised leiad meie artiklist PHP kriitiline turvaauk PHP2Shell.

Kontrollnimekiri

1. WordPressi versioon on 7.1.4 (või vanema haru puhul selle haru uusim turvaversioon) – vaata Töölaud → Uuendused.
2. Serveri PHP versioon on vähemalt 8.5.12, 8.4.27, 8.3.36 või 8.2.35 – vaata Tööriistad → Saidi tervis → Info → Server või küsi majutajalt.
3. Pluginad ja teema on uuendatud ning kasutamata pluginad eemaldatud.
4. Kasutajate nimekirjas pole vanu või tundmatuid kontosid, eriti kaastöölise, autori, toimetaja ja administraatori õigustega. Uute kasutajate vaikimisi roll on „Tellija”.
5. Sul on värske varukoopia, mida hoitakse väljaspool serverit.

Miks see kõik korraga juhtub?

Turvavigade leidmine on muutunud kiiremaks – osaliselt tänu tehisintellektile, mille abil leiti ka PHP2Shell. See tähendab, et paranduste ilmumise ja rünnakute vaheline aeg jääb järjest lühemaks. Koduleht, mida uuendatakse paar korda aastas, jääb sellises olukorras paratamatult maha. Turvalisuse jaoks on oluline, et keegi jälgiks teateid ja paigaldaks kriitilised uuendused päevade, mitte kuude jooksul.

Kokkuvõte

WordPress 7.1.4 tuleb paigaldada kohe ja serveri PHP peab olema uuendatud – üks ei asenda teist. Kui sa pole kindel, kas sinu koduleht on mõlemast küljest kaitstud, kirjuta meile – kontrollime selle üle. Pikemaajaliseks lahenduseks vaata meie kodulehe hoolduse teenust, kus turvauuendused paigaldatakse kiiresti ja testitult.