WordPressi arendajad avaldasid 22. septembril 2026 uue turvauuenduse WordPress 7.1.2, mis kõrvaldab kriitilise haavatavuse sisuhaldussüsteemi lehemallide laadimises. Turvaviga võib teatud tingimustel võimaldada ründajal käivitada veebiserveris pahatahtlikku PHP-koodi, ilma et tal oleks vaja WordPressi sisse logida.
WordPressi turvameeskond soovitab kõigil veebilehtede haldajatel uuenduse viivitamata paigaldada. Haavatavus puudutab lisaks WordPress 7.1 varasematele versioonidele ka mitmeid vanemaid versiooniharusid.
Uus turvaväljalase järgneb vaid viis päeva varem, 17. septembril avaldatud WordPress 7.1.1 hooldus- ja turvauuendusele, millega parandati 11 turvaviga ning kümneid muid WordPressi tööd mõjutavaid probleeme.
Turvaviga võimaldas laadida PHP-faile väljaspool aktiivse teema kataloogi
WordPress 7.1.2 parandab Path Traversal tüüpi haavatavuse, mis puudutab get_page_template() funktsiooni ja veebilehe lehemallide laadimist.
Turvavea kaudu võis autentimata ründaja mõjutada WordPressi lehemalli valimise protsessi nii, et süsteem kaasaks aktiivse kujundusteema kataloogist väljaspool asuva PHP-faili.
Kui serveris leidus sobiv PHP-fail ning täidetud olid vajalikud serverikeskkonna ja kasutatava kujundusteema tingimused, võis haavatavuse ärakasutamine viia koodi kaugkäivitamiseni ehk Remote Code Executionini (RCE).
See tähendab, et ründaja võis teatud olukordades saavutada veebiserveris PHP-koodi käivitamise ilma WordPressi kasutajakontot omamata.
Turvaprobleemist teatas WordPressi arendajatele vastutustundlikult Robert Ressl.
Haavatavus puudutab ka mitmeid populaarseid WordPressi teemasid
Turvavea ärakasutamine eeldab, et aktiivses WordPressi kujundusteemas või selle alamteemas asub ülemise taseme kataloog, mille nimi algab page- prefiksiga.
Selline kataloog võib olla näiteks page-templates, mida kasutatakse WordPressi lehemallide hoidmiseks.
Haavatavuse tingimustele vastavad muu hulgas vanemad WordPressi vaiketeemad Twenty Twelve ja Twenty Fourteen ning mitmed populaarsed kolmandate osapoolte kujundusteemad, sealhulgas Neve, Hestia ja Sydney.
Ainuüksi sellise kataloogi olemasolu ei tähenda siiski, et ründaja saaks veebiserveris automaatselt koodi käivitada. Selleks peavad olema täidetud ka täiendavad serverikeskkonnaga seotud tingimused.
Teatud PHP ja serveri seadistused suurendavad riski
Haavatavuse ärakasutamiseks peab serveris leiduma sobiv PHP-fail, mille lugemiseks on veebiserveri kasutajakontol vajalikud õigused.
Ühe võimaliku ründestsenaariumina on turvateates kirjeldatud PEAR-i tööriistaga seotud pearcmd.php faili kasutamist. Sellisel juhul võib koodi kaugkäivitamine olla võimalik, kui PHP seadistus register_argc_argv on sisse lülitatud.
Turvateate kohaselt vastavad nendele tingimustele muu hulgas ametlikul PHP Docker image’il põhinevad keskkonnad ning cPaneli vaikeseadistusega serverid, kus kasutatakse PHP versiooni, mis on vanem kui 8.5.
Seetõttu võib haavatavus puudutada ka tavapärastes veebimajutuskeskkondades töötavaid WordPressi veebilehti.
Turvavea tõsiduse tõttu ei soovitata uuendamisega viivitada ka juhul, kui veebilehe haldaja ei tea täpselt, millised PHP ja serveri seadistused tema veebimajutuses kasutusel on.
Turvaparandused jõudsid ka vanematele WordPressi versioonidele
WordPressi turvameeskond on viinud paranduse tagasiulatuvalt ka vanematesse versiooniharudesse kuni WordPress 4.7-ni.
Näiteks WordPress 7.0 kasutajatele on parandatud versioon 7.0.6, WordPress 6.9 kasutajatele 6.9.9 ning WordPress 6.8 kasutajatele 6.8.10.
Turvaparandus on lisatud ka teistele vanematele versioonidele, sealhulgas WordPress 6.7.9, 6.6.9 ja 6.5.12. Kõige vanem paranduse saanud versioon on WordPress 4.7.37.
WordPressi arendajad rõhutavad siiski, et aktiivselt toetatakse ainult sisuhaldussüsteemi kõige uuemat versiooni. Vanemate versioonide kasutajatel soovitatakse võimaluse korral üle minna värskeimale WordPressi versioonile.
WordPress 7.1.2 tuleks paigaldada esimesel võimalusel
WordPress 7.1.2 saab paigaldada otse administraatori juhtpaneelist, valides Dashboard → Updates → Update Now.
Veebilehtedel, kus automaatsed taustauuendused on lubatud, peaks uus turvaversioon paigalduma automaatselt. Veebilehe haldajatel tasub siiski kontrollida, kas uuendamine on juba toimunud.
Kuna seekord parandatud haavatavus on hinnatud kriitiliseks ning selle ärakasutamiseks ei ole vaja WordPressi sisse logida, on uuenduse kiire paigaldamine eriti oluline.
Enne käsitsi uuendamist tasub teha veebilehest ja andmebaasist värske varukoopia ning pärast paigaldamist kontrollida veebilehe, kujundusteema ja kasutatavate pluginate tavapärast toimimist.
Turvaviga on registreeritud tähisega CVE-2026-87902 ning selle kohta leiab täiendavat tehnilist teavet GitHubi turvateatest GHSA-7hp8-65ch-5whp.
