Un site pe WordPress poate fi preluat de un atacator fără parolă: o breșă critică din nucleul WordPress este deja exploatată în atacuri reale, iar reparația există în versiunea 7.1.2.
Este vorba despre CVE-2026-87902, o vulnerabilitate de tip „path traversal” în nucleul WordPress. În anumite condiții, un atacator neautentificat poate face serverul să includă și să execute un fișier ales de el, ceea ce duce la rularea de comenzi pe server — adică la preluarea site-ului. Vulnerabilitatea a primit un scor critic de gravitate.
Atacurile sunt reale și în creștere. Cercetătorii de securitate au observat mai întâi o etapă de recunoaștere, în care atacatorii căutau site-urile vulnerabile, iar apoi trecerea la scrierea de fișiere care execută comenzi la accesare. Traficul rău intenționat a crescut de zece ori, iar unele sarcini lasă în urmă fișiere-capcană în folderele temporare ale serverului.
WordPress a lansat reparația în versiunea 7.1.2 și a adus corecția și la versiunile mai vechi, până la 4.7, tocmai din cauza gravității. Un detaliu important pentru firmele găzduite pe servere obișnuite: configurația implicită de cPanel, atunci când folosește o versiune de PHP mai veche de 8.5, este afectată.
WordPress rulează majoritatea site-urilor de firmă, de la simple pagini de prezentare până la magazine online. Un site preluat poate fi folosit pentru a fura datele clienților, a redirecționa vizitatorii către pagini false sau a răspândi cod rău intenționat — toate în numele firmei tale.
Ce ai de făcut:
- Actualizează fiecare site WordPress la versiunea 7.1.2.
- Dacă folosești actualizări automate, verifică efectiv că s-au aplicat, nu presupune.
- Cere firmei sau persoanei care îți întreține site-ul să confirme reparația și să verifice serverul pentru fișiere suspecte.
- Dacă poți, treci PHP pe versiunea 8.5.
Un site care „merge” trece luni întregi fără să fie atins, iar tocmai de aceea o breșă neactualizată devine o ușă deschisă. O verificare scurtă îți spune dacă ești expus.
Acest articol a fost generat cu asistență AI.