WordPress 7.1.4 rregullon RCE ndërsa sulmuesit testojnë faqet
WordPress 7.1.4, i publikuar më 28 tetor 2026, rregullon 22 dobësi sigurie, duke përfshirë një dobësi remote code execution që mund t’i lejojë një sulmuesi të ekzekutojë kod në serverin e një faqeje pa pasur llogari. Wordfence raporton se sulmuesit filluan ta testonin dobësinë vetëm pak minuta pas vendosjes së një rregulli të ri firewall, ndaj është e rëndësishme që pronarët e faqeve të konfirmojnë se instalimi i tyre e ka marrë vërtet përditësimin e sigurisë.
Problemi më serioz është CVE-2026-119977, i vlerësuar me 8.1, ose High, sipas Common Vulnerability Scoring System (CVSS), një shkallë standarde për vlerësimin e dobësive të sigurisë. Ai prek WordPress Core, software-in kryesor mbi të cilin mbështetet një faqe WordPress, nga versioni 4.7 deri në 7.1.3. Dobësia është një race condition pa autentikim, që do të thotë se një sulmues pa llogari duhet të veprojë gjatë një sekuence ngjarjesh shumë të shkurtër dhe të përcaktuar me saktësi kohore. Shfrytëzimi me sukses mund të rezultojë në remote code execution (RCE), që lejon ekzekutimin e kodit në server nga një vend tjetër.
Momenti i cenueshëm ndodh gjatë një përditësimi të Core që përdor një paketë të plotë WordPress. Versionet e prekura i shpaketojnë skedarët zëvendësues në një direktori të përkohshme me shteg të parashikueshëm nën wp-content/upgrade. Kjo kopje e përgatitur paraprakisht, pra skedarë të përgatitur përkohësisht përpara se të vihen në përdorim, përfshin instaluesin e WordPress. Në serverët ku ajo direktori e përkohshme mund të arrihet nga web-i, një sulmues mund ta kërkojë instaluesin ndërsa përditësimi është në proces, të ndërveprojë me kopjen e përgatitur të WordPress dhe të përparojë drejt ekzekutimit të PHP, gjuhës së programimit që përdoret për funksionimin e WordPress.
Duhet të përmbushen disa kushte. Përditësimi duhet të përdorë një paketë të plotë që përmban instaluesin, direktoria e përgatitjes duhet të lejojë akses publik nga web-i dhe PHP, sulmuesi duhet ta parashikojë ose ta zbulojë shtegun e saj dhe procesi duhet të mbetet i disponueshëm aq gjatë sa sulmi të përfundojë përpara se WordPress t’i fshijë skedarët e përkohshëm. Vëzhgimet laboratorike të cituara nga Wordfence zbuluan se direktoria e ekspozuar zakonisht ekzistonte vetëm për disa sekonda. Prandaj, një kërkesë e vetme ka pak gjasa të mbërrijë në momentin e duhur, por kërkesat e përsëritura dhe të automatizuara mund ta rrisin mundësinë për të fituar garën kohore.
WordPress 7.1.4 e ndryshon këtë proces duke e bërë të rastësishëm emrin e direktorisë së përkohshme, duke vendosur në të një skedar mbrojtës index dhe duke bllokuar kalimin e pasigurt të të dhënave të përgatitura të konfigurimit. Rregullimi u bë backport edhe në degë të vjetra deri te WordPress 4.7. Versionet e rregulluara janë 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8 dhe 7.1.4. WordPress 4.6 dhe versionet më të hershme nuk marrin më përditësime sigurie dhe duhet të kalohen në një version që mbështetet.
Wordfence thotë se vendosi një rregull firewall në orën 20:30 UTC më 28 tetor, rreth tri orë pasi WordPress njoftoi publikimin e versionit. Një firewall është software që shqyrton kërkesat dhe bllokon trafikun që përputhet me modele të dëmshme. Klientët e Wordfence Premium, Care dhe Response e morën menjëherë rregullin, ndërsa përdoruesit e Wordfence Free pritet ta marrin më 27 nëntor 2026, pas vonesës standarde prej 30 ditësh. Përputhja e parë u shfaq nëntë minuta pas vendosjes. Gjatë 21 orëve pasuese, Wordfence regjistroi më shumë se 18,500 kërkesa që synonin shtigje të përgatitura të instaluesit setup-config.php.
Dy prej burimeve më të mëdha të kërkesave kontrolluan vazhdimisht grupe të vogla faqesh për rreth 14.5 orë, sjellje që, sipas Wordfence, përputhej me përpjekjet për të kapur intervalin e shkurtër të përditësimit. Burime të tjera provuan variante të shumta të direktorisë së përgatitjes dhe të emrave të versioneve. Jo çdo kërkesë përputhej me shtegun e saktë të cenueshëm, por kontrolli i vazhdueshëm dhe testimet që ndiqnin strukturën e pritshme të direktorive treguan se sulmuesit kishin filluar ta shënjestronin dobësinë kohore.
Faqet që përdorin Wordfence kanë nevojë për modalitetin Extended Protection që ky rregull specifik të veprojë mjaftueshëm herët. Exploit kërkon drejtpërdrejt një skedar të përgatitur PHP në vend që të ngarkojë fillimisht WordPress, prandaj firewall duhet të ekzekutohet përpara se të arrihet skedari i kërkuar. Wordfence thekson se ky rregull nuk e zëvendëson përditësimin, sepse instalimi i një versioni të rregulluar të Core e heq vetë sjelljen e cenueshme.
Rregullimet e tjera mbulojnë disa kategori sigurie. WordPress rendit stored cross-site scripting, ku kod i dëmshëm për browser-in ruhet në një faqe dhe ekzekutohet më vonë kur dikush shikon përmbajtjen e prekur, që përfshin block delimiters, Categories block, etiketat e Comments Pagination dhe Post Navigation, selective refresh të Customizer, kërkesat për fshirjen e të dhënave personale, emrat e përdoruesve të ndërtuar posaçërisht dhe trajtimin e block Image dhe Playlist.
Versioni trajton gjithashtu probleme të Interactivity API që përfshijnë bindings të pasigurta të URL, event-handler, internal-property dhe object. Interactivity API është një ndërfaqe WordPress që përdoret për t’u shtuar faqeve sjellje interaktive. Rregullimet e lidhura mbulojnë prototype pollution, që u lejon të dhënave të ndryshojnë vetitë e trashëguara nga objekte të tjera software-i, Script Module data shadowing, trajtimin e skedarëve tekst të ngarkuar në Interactivity Router dhe një gjendje të vazhdueshme denial of service që mund ta pengojë një shërbim të funksionojë normalisht.
Rregullime të mëtejshme trajtojnë zbulimin pa autentikim të changesets të papublikuara të Customizer dhe një dobësi autorizimi në Notes REST API. Një REST API është një ndërfaqe përmes së cilës software-i i dërgon kërkesa web një aplikacioni tjetër. Dobësia e Notes prek role të personalizuara që lejohen të moderojnë komentet, por jo të redaktojnë postimin që përmban një shënim. WordPress përditësoi gjithashtu root certificates të përfshira në paketën e tij, record-e të besuara që përdoren për të verifikuar lidhjet e sigurta, pas revokimit të eMudhra.
Shumë prej këtyre dobësive shtesë kërkojnë një llogari Contributor, Author ose Editor ku është kryer hyrja, ndërsa disa kërkojnë gjithashtu që viktima të hapë përmbajtje të kontrolluar nga sulmuesi. Këto kërkesa e kufizojnë ekspozimin krahasuar me RCE pa autentikim, por stored cross-site scripting mund të mundësojë përsëri marrjen nën kontroll të llogarisë ose ndryshime të paautorizuara në faqe kur një përdorues me privilegje shikon një faqe keqdashëse.
Pronarët e faqeve duhet të hapin Dashboard, të zgjedhin Updates dhe të konfirmojnë se versioni i shfaqur është 7.1.4 ose versioni i rregulluar për degën e tyre, në vend që të supozojnë se përditësimi automatik në background ka përfunduar me sukses. Nëse një faqe ka mbetur e papërditësuar, administratorët duhet të shqyrtojnë kërkesat ndaj skedarëve PHP nën wp-content/upgrade dhe të hetojnë llogaritë e panjohura të administratorëve, plugins të papritura ose skedarët PHP që nuk i kanë instaluar. Wordfence rekomandon gjithashtu ekzekutimin e scan-it të tij pas përditësimit për të kërkuar skedarë të ndryshuar të Core, skedarë keqdashës dhe prova të tjera që kërkojnë hetim.
Për organizatat që parapëlqejnë një mjedis të menaxhuar, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi deri në fund. Pavarësisht mënyrës së hosting, reagimi thelbësor është instalimi i versionit të duhur të sigurisë dhe verifikimi se përditësimi ka përfunduar, sepse sulmuesit tashmë po testojnë vazhdimisht për momentin e shkurtër të cenueshmërisë.