Dobësitë e WordPress sollën 1,077 raporte në korrik
Dobësitë e WordPress gjeneruan 1,077 raportime në Wordfence Bug Bounty Program në korrik 2026, 1.0% më shumë se në muajin e mëparshëm. Wordfence tha se 281 hulumtues ishin aktivë, një rënie prej 8.2%, ndërsa 84 raporte u klasifikuan si kërcënim i lartë, një rritje prej 44.8%. Edhe 73 të tjera u përfshinë në kategorinë e tij të zakonshme dhe të rrezikshme, një rritje prej 62.2%, dhe u publikuan 15 rregulla web application firewall, 114.3% më shumë. Një web application firewall filtron kërkesat e dëmshme përpara se ato të arrijnë te një faqe interneti.
Nga 1,077 raportet, Wordfence pranoi 243 si brenda objektit të programit, shënoi 17 si jashtë objektit, refuzoi 610 dhe identifikoi 207 si dublikate. Procesi i tij përfshin verifikimin teknik, kontaktimin e ofruesit të prekur, konfirmimin e një patch dhe mbulimin nga firewall kur është e zbatueshme. Wordfence thotë se klientët Premium, Care dhe Response marrin në kohë reale mbrojtjen përkatëse nga firewall, ndërsa përdoruesit falas e marrin atë pas 30 ditësh. Ofruesit mund të përdorin portalin e tij falas për menaxhimin e dobësive, për të ndjekur raportet që lidhen me software-in e tyre.
Programi i përkufizon gjetjet me kërcënim të lartë si dobësi që mund të shkaktojnë kompromentimin e plotë të faqes, përfshirë unrestricted file upload ose Remote Code Execution, që do të thotë ta bësh server-in të ekzekutojë komanda të zgjedhura nga një sulmues. Këto duhet të mund të shfrytëzohen pa një llogari ose përmes një llogarie të nivelit të ulët, në software me të paktën 25 instalime aktive. Kategoria e zakonshme dhe e rrezikshme përfshin cross-site scripting të ruajtur, ku kodi armiqësor ruhet dhe ekzekutohet më vonë në browser-at e vizitorëve, si dhe SQL injection, ku komandat keqdashëse të database futen përmes input-it të pambrojtur. Këto gjetje duhet të prekin software me të paktën 500 instalime dhe të jenë të arritshme nga sulmues pa autentikim ose me privilegje të ulëta.
Wordfence dha $51,183 në korrik, me një mesatare prej $210.63 për çdo raportim të verifikuar dhe të kualifikuar. Shpërblimi më i madh individual ishte $15,600 për një unauthenticated arbitrary file upload në Elementor Pro 4.2.1 dhe versionet më të hershme, i shkaktuar nga anashkalimi i validimit të një upload-field array. Software-i renditej me 5 milionë instalime. Shpërblime të tjera kryesore ishin $2,048 për një forged upload-field configuration që prekte Forminator Forms 1.56.1 dhe versionet më të hershme, me 600,000 instalime; $975 për një authentication bypass në User Profile Builder 3.16.4 dhe versionet më të hershme, që mund të çonte në marrjen e kontrollit si administrator, me 40,000 instalime; $804 për cross-site scripting të ruajtur dhe pa autentikim në Independent Analytics 2.15.0 dhe versionet më të hershme, me 100,000 instalime; dhe $800 për SQL injection pa autentikim në Unlimited Elements For Elementor 2.0.16 dhe versionet më të hershme, me 300,000 instalime.
CWE, ose Common Weakness Enumeration, është një katalog standard që përdoret për klasifikimin e gabimeve të sigurisë në software. Klasa e pranuar më shpesh ishte CWE 79, që mbulon output-in e pasigurt gjatë gjenerimit të faqeve të internetit, me 80 raportime, $13,415 shpërblime gjithsej dhe një mesatare prej $167.69. Dangerous file uploads, CWE 434, prodhoi 18 raportime, por pagesën më të madhe sipas kategorisë, prej $21,909, me një mesatare prej $1,217.17. SQL injection gjithashtu kishte 18 raportime dhe u paguan $2,968. Klasa të tjera të zakonshme përfshinin improper privilege management me 16 raporte, restricted-path failures me 10, improper authentication me 11, user-controlled authorization bypass me nëntë, missing authorization me nëntë, unsafe code generation me tre dhe alternate-path authentication bypass me dy. Gjetjet e vetme që përfshinin incorrect type conversion dhe untrusted data deserialization fituan përkatësisht $975 dhe $615.
Dobësitë pa autentikim mbizotëruan në kategoritë e renditura të aksesit, me 163 dobësi dhe një shpërblim mesatar prej $350.84. Dobësitë e nivelit Subscriber përbënin 60 raste, me një mesatare prej $133.37, ndërsa 14 gjetje pa autentikim që kërkonin ndërveprim përmes një user interface kishin një mesatare prej $74. Katër raste custom access kishin një mesatare prej $19.67. Shtrirja e instalimeve ndikoi gjithashtu në vendosjen e përparësive. Grupi më i madh përfshinte software me 1,000 deri në 49,999 instalime, duke përbërë 81 gjetje me një rezultat mesatar CVSS prej 7.4 dhe një shpërblim mesatar prej $147.53. CVSS, ose Common Vulnerability Scoring System, vlerëson ashpërsinë teknike në një shkallë numerike. Software-i jashtë repository prodhoi 31 gjetje, me rezultat mesatar 9.0 dhe shpërblim mesatar prej $871.60. Software-i me 100,000 deri në 999,999 instalime përbënte 38 gjetje dhe kishte një shpërblim mesatar prej $384.87.
Rasti me pasojat më të mëdha përfshinte versionet 6.9 deri në 7.0.1 të WordPress Core. Një hulumtues nga Assetnote / Searchlight Cyber zbuloi se batch endpoint i REST API në /wp-json/batch/v1 mund të keqpërdorej për Remote Code Execution. Një REST API është një interface përmes të cilit software-i i dërgon kërkesa të strukturuara një aplikacioni tjetër. Analiza e Wordfence thotë se kontrolli dhe validimi i route mund të dilnin nga sinkronizimi, duke lejuar që një sub-request i validuar të arrinte në një callback të paqëllimshëm. Kjo anashkalonte kufizimin allow_batch dhe input sanitisation të route të destinacionit, duke ruajtur ndërkohë parametrat e kontrolluar nga sulmuesi. Dobësia më pas mund të kombinohej me SQL injection për të ekzekutuar kod në server.
WordPress Security Team publikoi versionet 6.8.6, 6.9.5 dhe 7.0.2 të premten, më 17 korrik 2026. Release trajtoi dy dobësi që mund të lidheshin në chain për të shkaktuar Remote Code Execution pa autentikim, një kombinim i quajtur zakonisht wp2shell. WordPress i përshkroi problemet si një dobësi kritike dhe një dobësi me ashpërsi të lartë dhe aktivizoi përditësimet automatike të detyruara për release-et e prekura për shkak të ashpërsisë së tyre.
Një incident i veçantë preku Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick në versionet 10.8.7 dhe 10.8.8. Wordfence PRISM zbuloi një hardcoded backdoor brenda dy orësh nga futja e tij. Funksioni _arve_uc_init() i plugin ekzekutohej herët gjatë çdo kërkese dhe pranonte një token përmes parametrit _wplogin ose _wpm. Ai e krahasonte atë token me një vlerë fikse SHA-256 të integruar në source code të aksesueshëm publikisht, pa një nonce, kontroll të aftësive ose validim të fjalëkalimit. Një nonce është një vlerë që përdoret vetëm një herë dhe synon të tregojë se një kërkesë ka ardhur nga një faqe ose session i pritshëm. Kushdo që zotëronte token-in universal mund të zgjidhte një llogari ekzistuese administratori dhe të merrte kontroll të plotë të faqes. Wordfence vlerësoi se një sulmues ndoshta e futi kodin pasi fitoi commit access në llogarinë e zhvilluesit, megjithëse ky shkak nuk u konfirmua.
Pronarët e faqeve duhet të instalojnë release-et e sigurisë të WordPress Core dhe të kontrollojnë çdo plugin të renditur për përditësim ose heqje. Ata duhet gjithashtu të kontrollojnë listën e administratorëve për llogari të panjohura, veçanërisht nëse ishte instaluar plugin i prekur i videove. Për organizatat që duan që operacionet e hosting të trajtohen si managed service, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi deri në fund. Rezultatet e korrikut nënvizojnë se përditësimet e shpejta mbeten thelbësore, sepse gjetjet më serioze nuk kërkonin një llogari ekzistuese dhe mund të ekspozonin një faqe të tërë interneti.