WordPress 7.1.2 — оновлення безпеки: що це означає для вашого магазину на WooCommerce

22 вересня вийшов WordPress 7.1.2 — оновлення безпеки. Воно закриває одну вразливість з рівнем «критичний»: 9,2 з 10. На частині сайтів вона дає зловмиснику, який навіть не увійшов в адмінку, виконати свій код на сервері. WordPress радить оновитися негайно.

Для магазину «чужий код на вашому сервері» — це дані покупців, замовлення і сама сторінка оформлення замовлення, за дев’ять тижнів до найгарячіших вихідних року. Ось як зрозуміти, чи вразливий ваш магазин, і що зробити сьогодні.

Атаці потрібні три відчинені двері одночасно: старий WordPress, певна тема і певний сервер. Дайте три відповіді про свій магазин — і побачите, як далеко пройде зловмисник.

1. Тема. В активній темі або в її батьківській темі є папка верхнього рівня, назва якої починається з page-, — наприклад, page-templates. У повідомленні названі Twenty Twelve, Twenty Fourteen і популярні Neve, Hestia та Sydney. Тримати шаблони сторінок у папці page-templates — поширена звичка, тож під умову може потрапити й тема, якої немає у списку.

2. Сервер. Зловмиснику потрібен відповідний PHP-файл, який сервер може прочитати. Відомий шлях — через pearcmd.php з PEAR, коли увімкнене налаштування PHP register_argc_argv. За повідомленням, під загрозою офіційний Docker-образ PHP і стандартне налаштування cPanel з PHP старішим за 8.5.

Простими словамиСтарого WordPress самого по собі мало: мають бути відчинені ще замок теми і замок сервера. Тему можна перевірити самому за хвилину. Сервер — питання до хостингу чи розробника, тому оновитися швидше, ніж з’ясовувати.

WordPress сам ставить оновлення безпеки, якщо увімкнені автоматичні фонові оновлення. У багатьох магазинах їх вимкнули свідомо: сайт викладають з Git, агенція оновлює все пакетом або WordPress веде хостинг. Тоді 7.1.2 чекає, поки хтось його поставить.

Наш власний сайт налаштований саме так, тож цього тижня оновлення піде звичайним випуском, а не само. Відкрийте Консоль → Оновлення у своєму магазині й подивіться, що там написано.

Це єдиний вид змін, який іде навіть під час заморозки коду: виправлення безпеки, перевірене на копії, потім — на бойовий сайт.

І саме тому ми оновлюємо магазини в жовтні. WordPress переніс це виправлення і в старі версії, але активно підтримується лише остання. Магазин, який тримає все актуальним, ставить таке виправлення за годину. Магазину, який пропустив рік оновлень, зазвичай спершу потрібне коло оновлень плагінів і теми — таку роботу краще робити в жовтні, а не за тиждень до піку.

• Виправлені версії: 7.1.2, 7.0.6, 6.9.9, 6.8.10, 6.7.9 і так далі аж до 4.7.37 — повний список у повідомленні.
• Тема: ls -d wp-content/themes/<theme>/page-*/ для активної теми та її батьківської.
• Сервер: перевірте register_argc_argv для того PHP, який віддає сайт, — сторінкою phpinfo, а не в командному рядку, де він зазвичай і так увімкнений, — і чи є pearcmd.php в include path PHP.
• Викладка з Git: якщо в wp-config.php є AUTOMATIC_UPDATER_DISABLED або DISALLOW_FILE_MODS, ядро оновлюють у репозиторії й викладають як звичайний випуск.
• Якщо до оновлення магазин відповідав усім умовам: пошукайте нових адміністраторів, PHP-файли у wp-content/uploads і нещодавно змінені файли теми.

Тримати WordPress, WooCommerce і плагіни актуальними, разом з оновленнями безпеки, — частина нашої підтримки WooCommerce. Якщо хочете знати, де ще ваш магазин вразливий, — це наш аудит безпеки WordPress.