Megjelent a WordPress 7.0.4, amely ezúttal nem új funkciókat vagy általános hibajavításokat hoz, hanem egy biztonsági sérülékenységet szüntet meg. A WordPress.org közleménye szerint a hibát rosszindulatú fájlfeltöltéssel lehetett kihasználni olyan webhelyeken, amelyek az Imagick és Ghostscript komponenseket használják.
Mivel a sérülékenység sikeres kihasználása távoli kódfuttatáshoz vezethet, a WordPress csapata azt javasolja, hogy az érintett webhelyeket mielőbb frissítsék WordPress 7.0.4-re.
Milyen biztonsági hibát javít a WordPress 7.0.4?
A 7.0.4 egyetlen, de jelentős biztonsági sérülékenység javítását tartalmazza. A WordPress Security Team által közzétett információ szerint hitelesített Author vagy magasabb jogosultsági szinttel rendelkező felhasználó rosszindulatú fájl feltöltésével távoli kódfuttatást (Remote Code Execution, RCE) érhetett el azokon a webhelyeken, amelyek az Imagick és Ghostscript használatára támaszkodnak.
Ez azért különösen fontos, mert az RCE típusú sérülékenységek esetében egy sikeres támadás nem egyszerűen egy weboldal tartalmának módosítását jelentheti, hanem a kiszolgálón történő jogosulatlan kódfuttatás lehetőségét is.
A WordPress.org közleménye alapján a sérülékenységet a pwn.ai csapata jelentette felelősségteljesen a WordPress fejlesztőinek, így a hibát a nyilvános kiadás előtt kijavíthatták. A sérülékenységhez a CVE-2026-65640 és GHSA-8vr3-7mxf-gx8w azonosítók kapcsolódnak.
Kik lehetnek érintettek?
A javítás különösen azokat a webhelyeket érinti, ahol az Imagick és Ghostscript használatára épülő képfeldolgozás elérhető, és a rendszerben olyan hitelesített felhasználó is rendelkezik Author vagy magasabb jogosultsággal, aki fájlokat tölthet fel.
A WordPress.org közleménye nem részletezi, hogy minden ilyen konfiguráció ténylegesen sebezhető-e, ezért nem érdemes saját környezetben a sérülékenység kihasználhatóságát tesztelni. A biztonsági javítás telepítése a megfelelő megoldás.
A korábbi WordPress verziókhoz is érkezik javítás
A WordPress csapata a javítást a korábbi támogatott ágakba is visszaportolja. A 7.0.4-ben található biztonsági javításokat egészen a WordPress 4.7-es ágáig visszamenőleg elkészítik.
Fontos azonban, hogy a WordPress.org külön felhívja a figyelmet: aktívan csak a WordPress legfrissebb verziója támogatott. A régebbi verziókhoz készülő backportok elsősorban a biztonsági javítások elérhetőségét biztosítják az adott ágakon.
A javítás bekerül a hamarosan megjelenő WordPress 7.1 RC3 kiadásba is.
Hogyan frissíthető a WordPress 7.0.4?
A frissítés a WordPress adminisztrációs felületéről néhány kattintással telepíthető. A Vezérlőpult → Frissítések menüpontban a Frissítés most gombra kattintva telepíthető a WordPress 7.0.4. A WordPress.org szerint azok a webhelyek, amelyek támogatják az automatikus háttérfrissítéseket, rövid időn belül automatikusan megkapják a javítást.
A WordPress.org oldaláról letölthető és a frissítés manuálisan (új ablakban nyílik meg) is elvégezhető.
Érdemes mielőbb frissíteni?
A WordPress 7.0.4 nem egy hagyományos karbantartási kiadás, hanem biztonsági frissítés. Bár egyetlen sérülékenységet javít, annak jellege miatt nem érdemes halogatni a telepítését: a WordPress.org által közölt információ szerint egy hitelesített Author vagy magasabb jogosultságú felhasználó rosszindulatú fájlfeltöltéssel távoli kódfuttatást érhetett el bizonyos Imagick és Ghostscript konfigurációk mellett.
A WordPress csapata ezért egyértelműen azt javasolja, hogy a webhelyeket azonnal frissítsék WordPress 7.0.4-re.
Forrás:
