28. oktoobril avaldati WordPressi sisuhaldussüsteemi uus turvauuendus 7.1.4, mis parandab kokku 22 turvanõrkust. Nende seas on potentsiaalselt eriti ohtlik haavatavus, mis võib võimaldada veebilehe uuendamise ajal pahatahtliku koodi kaugkäivitamist. WordPressi arendajad soovitavad kõigil veebilehtede omanikel uus versioon viivitamatult paigaldada.
Tegemist on ulatusliku turvauuendusega, mis kõrvaldab mitmeid XSS-haavatavusi, ligipääsuõigustega seotud probleeme ning muid turvariske. Mitmed avastatud vead puudutavad WordPressi plokiredaktorit ja Interactivity API-t, mida kasutatakse veebilehtede interaktiivsete funktsioonide loomiseks.
Üks tõsisemaid turvaauke võimaldas koodi kaugkäivitamist
WordPress 7.1.4 üks olulisemaid parandusi puudutab sisuhaldussüsteemi uuendamisprotsessi. Turvauurija Umut Bayram avastas võistlusolukorra (race condition), mis võib teatud tingimustel võimaldada uuendamise ajal koodi kaugkäivitamist ehk RCE-d (Remote Code Execution).
Sellised haavatavused on potentsiaalselt väga ohtlikud, sest nende edukas ärakasutamine võib võimaldada ründajal käivitada serveris pahatahtlikku koodi.
Lisaks parandati arvukalt salvestatud XSS-haavatavusi (Stored Cross-Site Scripting), mis võivad võimaldada pahatahtliku JavaScripti salvestamist veebilehe sisusse ja selle hilisemat käivitamist teiste kasutajate, sealhulgas administraatorite veebilehitsejates.
Turvaprobleemid puudutasid ka WordPressi plokke
Märkimisväärne osa parandustest puudutab WordPressi Interactivity API-t, mille kaudu lisatakse veebilehtedele interaktiivset funktsionaalsust.
Avastatud probleemid hõlmasid muu hulgas JavaScripti käivitamist võimaldavaid haavatavusi, objektide prototüüpide manipuleerimist (prototype pollution) ning teenusetõkestusrünnet ehk DoS-i võimaldavaid vigu.
XSS-haavatavusi parandati ka kategooriate, piltide, esitusloendite ja kommentaaride lehekülgede vahel liikumiseks kasutatavates plokkides.
Lisaks kõrvaldati turvaprobleemid, mis puudutasid kasutajanimede käsitlemist, privaatsete kohandusseadete nähtavust ja teatud kasutajarollide ligipääsu postitustega seotud märkmetele.
Mitmest haavatavusest teatas tehisintellektiettevõte Anthropic, kuid paranduste väljatöötamisse andsid panuse ka sõltumatud turvauurijad ja WordPressi turvameeskond.
Turvaparandused jõudsid ka vanematesse WordPressi versioonidesse
WordPress 7.1.4 turvaparandused ei piirdu ainult kõige uuema versiooniga. Arendajad on avaldanud parandusi ka varasematele WordPressi versiooniharudele.
Näiteks WordPress 7.0 ja 6.9 puhul puudutasid kõik 22 avastatud haavatavust ka neid versioone. Nende parandamiseks avaldati vastavalt versioonid 7.0.8 ja 6.9.11.
Turvauuendusi on saanud ka mitmed WordPressi 5.x ja 4.x versioonid, kuni versioonini 4.7. WordPress 4.6 ja sellest vanemad versioonid enam turvauuendusi ei saa.
WordPressi arendajad rõhutavad siiski, et aktiivselt toetatakse ainult sisuhaldussüsteemi kõige uuemat versiooni.
WordPressi veebilehed tuleks kohe uuendada
Kuna parandatud turvanõrkuste hulgas on ka potentsiaalselt tõsiseid haavatavusi, soovitab WordPress paigaldada versiooni 7.1.4 esimesel võimalusel.
Uuenduse saab teha WordPressi halduspaneelis menüü Töölaud → Uuendused kaudu. Veebilehtedel, kus automaatsed taustauuendused on lubatud, võib uus versioon paigalduda automaatselt.
Enne uuendamist on soovitatav kontrollida varukoopiate olemasolu ning pärast uuendamist veenduda veebilehe ja kasutatavate pluginate korrektses toimimises.
WordPressi veebilehtede tehnilise hoolduse ja turvalisusega seotud küsimustes saab abi ka veebiarendusega tegelevalt ettevõttelt UusWeb.ee.
Järgmine suurem WordPressi versioon 7.2 on praeguse ajakava kohaselt plaanis avaldada 8. detsembril 2026.
