Aktualizovali jste WordPress minulý týden? Možná musíte znovu

Ještě před pár dny mohl váš web hlásit, že je aktuální. Teď už to platit nemusí. WordPress vydal bezpečnostní opravu chyby v samotném jádru systému. Útočník k jejímu zneužití nepotřebuje heslo a v některých prostředích může útok skončit spuštěním kódu na serveru.

Když si web sáhne po nesprávném souboru

WordPress při zobrazení stránky vybírá odpovídající soubor šablony. U jedné z možných cest dostatečně neověřoval hodnotu, která pocházela z požadavku návštěvníka. Útočník ji tak mohl za určitých okolností zneužít k tomu, aby WordPress načetl jiný místní PHP soubor mimo složky aktivní šablony.

Tomuto typu chyby se říká local file inclusion neboli LFI. Důležitý detail: k pokusu není potřeba účet ve WordPressu. Útok může přijít zvenčí, bez přihlášení do administrace.

Znamená to, že lze okamžitě ovládnout každý neaktualizovaný web? Ne. Samotné načtení místního PHP souboru ještě útočníkovi nedává možnost spustit libovolný vlastní kód. K tomu musí zároveň vyhovovat struktura použité šablony a další podmínky na serveru. Pokud se ale sejdou, může chyba vést až ke vzdálenému spuštění kódu s oprávněními, pod kterými běží webová aplikace.

Proč by vás to mělo zajímat, i když web funguje normálně

Web může dál bez potíží načítat stránky, přijímat formuláře a působit zcela běžně. To samo o sobě nic neříká o tom, zda už bezpečnostní opravu dostal. Navíc verze 7.1.1 není v tomto případě opravená, přestože šlo o nedávné bezpečnostní vydání.

WordPress opravu vydal jako 7.1.2 a zpětně ji připravil i pro starší větve až po 4.7. To umožňuje nasadit bezpečnostní opravu také na starší instalaci bez okamžitého přechodu na hlavní verzi 7.1. Dlouhodobě je však vhodné směřovat k aktuální verzi WordPressu: pouze ta je aktivně podporovaná.

Tři kroky, které udělat teď

Zkontrolujte verzi WordPressu na každém webu. Zapnuté automatické aktualizace jsou dobrý začátek, ale ověřte, že se oprava skutečně nainstalovala.

Nasaďte opravenou verzi. Pro větev 7.1 je to 7.1.2; pro starší větve zveřejnil WordPress odpovídající bezpečnostní vydání. Aktualizaci najdete v administraci v části Nástěnka → Aktualizace.

Po aktualizaci web projděte. Vyzkoušejte hlavní stránky, formuláře, přihlášení a další důležité funkce. Před ruční aktualizací dodržte svůj obvyklý postup zálohování.

Pokud web spravuje dodavatel, zeptejte se ho, zda je oprava nasazená na všech vašich instalacích, včetně méně používaných webů. Kontrola šablony a nastavení serveru může upřesnit míru rizika, ale samotnou aktualizaci nenahradí.

Bezpečnost webu nekončí instalací WordPressu ani poslední aktualizací pluginů. Záleží na tom, zda má někdo přehled o verzi jádra, použité šabloně a prostředí serveru — a zda umí včas zareagovat, když vyjde oprava, kterou se nevyplatí odkládat.