WordPress пусна версия 7.1.4 на 28 октомври 2026 г., отстранявайки 22 уязвимости в сигурността, включително дефект за отдалечено изпълнение на код (RCE) без автентикация в процеса на обновяване. Версията със защитни корекции също така адресира проблеми със запазен междинен скриптинг (stored XSS), изтичане на данни и контрол на достъпа. WordPress настоятелно призовава собствениците на уебсайтове незабавно да инсталират корекциите за сигурност.
В официалното съобщение за версията заслугата за докладването на дефекта при обновяване се приписва на изследователя по сигурността Umut Bayram. Техническият анализ на Patchstack описва 22 уязвимости в 17 бюлетина, което обяснява защо броят на изброените бюлетини се различава от общия брой дефекти.
Издаването беше ръководено от Aaron Jorbin и Nik Tsekouras, като доклади от независими изследователи и екипа по сигурност на WordPress спомогнаха за затварянето на слаби места както в по-стари, така и в по-нови функционалности.
Най-сериозният проблем включва състояние на надпревара (race condition), при което атакуващ трябва да осъществи достъп до временна инсталация в точно определен момент. За експлоатацията не се изисква профил в WordPress, но атаката зависи от кратък времеви прозорец по време на обновяването и публичен достъп до директорията wp-content/upgrade/.
По време на обновяване WordPress разархивира файлове в тази директория. Преди това предвидимите имена на папки и почистването, което премахваше index.php, можеха да изложат на риск разархивирания инсталатор на WordPress. Атакуващ, който получи достъп до него по време на обновяването, би могъл да стартира инсталацията с контролирана от него база данни, създавайки възможност за изпълнение на код.
WordPress 7.1.4 добавя 16 случайни знака към имената на временните папки, възстановява защитата с index.php и предотвратява копирането на wp-config.php от работната директория. Patchstack оценява експлоатацията като трудна, тъй като възможността трае само секунди. Това е отделен проблем от предишната уязвимост при разрешаване на шаблони в ядрото на WordPress, отразена от Cybersecuritynews.com.
Запазен XSS и пропуски в разрешенията
Няколко корекции са насочени към Interactivity API, който поддържа интерактивни функции на страниците. Атакуващи с ниво на достъп Contributor биха могли да запишат специално създадени атрибути, които преминават филтрирането на съдържанието, но по-късно задействат опасни действия в браузъра. Обновяването блокира опасните свързвания, засилва проверките и отстранява проблем, водещ до отказ на услуга (DoS), който би могъл да блокира раздела на браузъра на посетителя.
Други корекции за запазен XSS обхващат манипулиран маркъп на блокове, селективно опресняване в Customizer, категории и навигационни етикети. Обработката на изображения и плейлисти също получи подобрения в сигурността. Запазеният XSS означава, че зловредният скриптов код остава съхранен на сайта и се изпълнява, когато друг потребител отвори засегнатото съдържание.
Anthropic докладва за проблеми, включващи заявки за премахване на лични данни и специално модифицирани потребителски имена. Отделен дефект в Customizer разкриваше непубликувани промени пред посетители без профили. WordPress също така затегна разрешенията за бележки, така че потребителите да нямат достъп до бележки, прикачени към публикации, които нямат право да редактират. Тези промени следват предишни обновления за сигурност на WordPress, адресиращи подобни рискове.
Обновяване на WordPress и проверка на защитата
Администраторите могат да инсталират версията през таблото за управление (Dashboard), Обновявания (Updates) и Обнови сега (Update Now), или да изтеглят WordPress 7.1.4 директно. Сайтовете с автоматични фонови обновления би трябвало да я получат автоматично, но собствениците трябва да потвърдят инсталираната версия, вместо да предполагат, че процесът е приключил успешно.
Официалната документация за версиите изброява коригирани по-стари клонове, включително 7.0.8, 6.9.11 и версии чак до 4.7.39. Не всеки клон съдържа всички 22 дефекта. Само най-новата версия на WordPress се поддържа активно, докато версии 4.6 и по-стари не получават обновления за сигурност.
Освен инсталирането на корекции за сигурност, Patchstack препоръчва блокиране на уеб достъпа до wp-content/upgrade/ на ниво уеб сървър и преглед на профилите с права Contributor или по-високи.
Защитната стена за плъгини на WordPress (WAF) може да не защити разархивирания инсталатор, тъй като това копие се зарежда независимо. Версията също така обновява включените коренови сертификати след оттеглянето на eMudhra. WordPress 7.2 остава насрочен за 8 декември, но собствениците на сайтове не бива да отлагат това обновяване на сигурността в очакване на основната версия.