WordPress platformasida jiddiy xavfsizlik zaifligi aniqlandi. CVE-2026-65640 sifatida qayd etilgan mazkur zaiflikdan foydalanib, hujumchi WordPress saytida Author (muallif) huquqiga ega hisob orqali maxsus tayyorlangan faylni yuklashi va serverda masofadan turib kod bajarilishiga erishishi mumkin.
Zaiflik WordPress’ning rasmlarni qayta ishlash mexanizmi bilan bog‘liq bo‘lib, ayniqsa Imagick, ImageMagick va Ghostscript komponentlaridan foydalanadigan saytlar uchun xavf tug‘diradi.
Muammo WordPress’ning 7.0.4 versiyasida bartaraf etilgan. Shu sababli sayt administratorlariga tizimni imkon qadar tezroq yangilash tavsiya etiladi.
Oddiy PNG fayl qanday qilib xavfli bo‘lishi mumkin?
Birinchi qarashda hujum juda oddiy ko‘rinadi: foydalanuvchi WordPress saytiga rasm yuklaydi.
Masalan:
rasm.png
Lekin faylning nomi uning ichidagi ma’lumot haqiqatan ham PNG ekanini anglatmaydi. Hujumchi rasm ko‘rinishida maxsus tayyorlangan zararli fayl yaratishi mumkin.
WordPress yuklangan rasmni qayta ishlash uchun Imagick kutubxonasidan foydalanadi. Imagick esa o‘z navbatida ImageMagick imkoniyatlariga tayanadi. ImageMagick ayrim grafik formatlardan tashqari PostScript, EPS va PDF kabi formatlarni ham qayta ishlay oladi.
Ayrim holatlarda bunday fayllarni qayta ishlash uchun Ghostscript ishga tushadi.
Shu jarayonda zararli fayl tizim tomonidan oddiy rasm sifatida emas, boshqa formatdagi fayl sifatida talqin qilinishi va xavfli kodni ishga tushirishga olib kelishi mumkin.
Ya’ni hujum zanjiri soddalashtirilgan holda quyidagicha:
Zararli fayl → WordPress → Imagick → ImageMagick → Ghostscript → serverda kod bajarilishi.
Faylning .png
bilan tugashi xavfsizlik kafolati emas
Zaiflikning asosiy muammolaridan biri — faylning nomi bilan haqiqiy tarkibi o‘rtasidagi farq.
Masalan, hujumchi faylni:
holiday.png
deb nomlashi mumkin. Tashqi tomondan u oddiy PNG faylga o‘xshaydi. Ammo uning ichida boshqa formatga tegishli zararli ma’lumot bo‘lishi mumkin.
Agar tizim faqat fayl kengaytmasiga ishonsa, bunday fayl xavfsiz deb qabul qilinishi ehtimoli paydo bo‘ladi.
WordPress’ning ayrim fayl yuklash mexanizmlarida esa standart fayl tekshiruvlari barcha holatlarda bir xil ishlamasligi aniqlangan. Xususan, XML-RPC orqali fayl yuklash kabi ayrim yo‘llar xavfli faylni tizimga kiritish uchun muqobil imkoniyat yaratishi mumkin.
Shu sababli faqat:
“Fayl
.png
ekan, demak xavfsiz”
degan yondashuv yetarli emas.
Faylning haqiqiy tarkibi ham tekshirilishi kerak.
Hujum uchun administrator huquqi shart emas
CVE-2026-65640’ning eng xavotirli jihatlaridan biri — hujumchi uchun Administrator huquqi talab qilinmasligidir.
Zaiflikdan foydalanish uchun Author darajasidagi hisob yoki undan yuqori huquq yetarli bo‘lishi mumkin.
Bu, ayniqsa, quyidagi saytlar uchun muhim:
- yangiliklar portallari;
- ko‘p muallifli saytlar;
- a’zolik platformalari;
- foydalanuvchilar kontent yuklaydigan saytlar;
- mijozlar uchun boshqariladigan WordPress saytlar.
Masalan, saytga maqola joylashtirish huquqiga ega bo‘lgan xodimning hisobi buzib kirilsa, hujumchi undan oddiy kontent joylashtirish uchun emas, balki zararli fayl yuklash uchun foydalanishga urinishi mumkin.
O‘g‘irlangan hisob hujumning boshlanish nuqtasiga aylanishi mumkin
Hujumchi Author hisobini to‘g‘ridan-to‘g‘ri CVE-2026-65640 orqali qo‘lga kiritmaydi. Buning uchun boshqa usullardan foydalanishi mumkin.
Masalan:
Phishing → foydalanuvchi parolini o‘g‘irlash → WordPress’ga kirish → zararli fayl yuklash → RCE.
Bundan tashqari, qayta ishlatilgan parollar, credential stuffing yoki boshqa zaifliklar orqali ham foydalanuvchi hisoblari buzilishi mumkin.
Shuning uchun mazkur zaiflikni faqat WordPress yadrosi bilan bog‘liq muammo sifatida emas, balki foydalanuvchi hisoblarini himoyalash masalasi bilan birgalikda ko‘rib chiqish kerak.
RCE nimani anglatadi?
RCE — Remote Code Execution, ya’ni masofadan turib kod bajarish degani.
Bu zaiflik turi hujumchiga serverda o‘ziga kerakli buyruq yoki kodni bajarish imkonini berishi mumkin.
Agar hujumchi bunday imkoniyatni qo‘lga kiritsa, keyingi maqsadlari quyidagilar bo‘lishi mumkin:
- WordPress fayllarini o‘zgartirish;
- zararli skript yoki web-shell joylashtirish;
- sayt ma’lumotlar bazasiga kirish;
- maxfiy ma’lumotlarni o‘g‘irlash;
- yangi foydalanuvchilar yaratish;
- saytni buzish yoki uning mazmunini o‘zgartirish;
- serverdagi boshqa tizimlarga o‘tish imkoniyatlarini izlash.
Hujumning real oqibati esa serverda WordPress qanday huquqlar bilan ishlayotganiga va tashkilot infratuzilmasining qanchalik himoyalanganiga bog‘liq.
WordPress 7.0.4’da muammo qanday bartaraf etildi?
WordPress ishlab chiquvchilari 7.0.4 versiyasida fayllarni tekshirish mexanizmini kuchaytirdi.
Endi tizim faylni Imagick orqali qayta ishlashdan oldin uning haqiqiy tarkibini tekshirishga ko‘proq e’tibor qaratadi.
Jumladan, xavfli PostScript va EPS tarkiblari, noto‘g‘ri formatdagi PDF fayllari hamda ImageMagick tomonidan avtomatik ravishda ochilishi mumkin bo‘lgan ayrim siqilgan fayllarga nisbatan qo‘shimcha tekshiruvlar amalga oshiriladi.
Shuningdek, fayl nomining o‘zida ImageMagick’ni ma’lum formatdan foydalanishga majburlashi mumkin bo‘lgan maxsus belgilarni suiiste’mol qilishga qarshi ham himoya kuchaytirilgan.
Kimlar ayniqsa ehtiyot bo‘lishi kerak?
Quyidagi tashkilot va saytlar xavfni jiddiy baholashi kerak:
1. Ko‘p muallifli saytlar.
Saytda ko‘plab Author hisoblari mavjud bo‘lsa, hujum uchun imkoniyatlar ham ortadi.
2. Foydalanuvchilardan fayl qabul qiladigan saytlar.
Rasm, hujjat yoki boshqa fayllarni yuklash imkoniyati mavjud bo‘lgan saytlar alohida tekshirilishi kerak.
3. Eski foydalanuvchi hisoblari mavjud saytlar.
Faol ishlatilmaydigan, ammo hali ham Author huquqiga ega hisoblar xavf tug‘dirishi mumkin.
4. Imagick va Ghostscript’dan foydalanadigan serverlar.
Ushbu komponentlarning versiyasi va konfiguratsiyasi ham tekshirilishi zarur.
Administratorlar nima qilishi kerak?
WordPress administratorlari quyidagi choralarni ko‘rishi lozim:
- WordPress’ni 7.0.4 yoki undan keyingi xavfsiz versiyaga yangilash;
- barcha plagin va temalarni yangilash;
- Imagick, ImageMagick va Ghostscript versiyalarini tekshirish;
- Author va undan yuqori huquqqa ega foydalanuvchilar ro‘yxatini ko‘rib chiqish;
- keraksiz hisoblarni o‘chirish;
- foydalanuvchilarga faqat zarur huquqlarni berish;
- kuchli va noyob parollardan foydalanish;
- imkon qadar MFA’ni yoqish;
- fayl yuklash imkoniyatlarini cheklash;
- WordPress va web-server loglarini tekshirish;
- kutilmagan PHP fayllari va boshqa shubhali fayllarni aniqlash;
- saytning zaxira nusxalarini alohida va ishonchli muhitda saqlash.
Agar sayt ilgari zaif versiyada ishlagan bo‘lsa, faqat yangilash bilan cheklanib qolmasdan, serverda avvaldan hujum izlari mavjud yoki mavjud emasligini ham tekshirish maqsadga muvofiq.
CVE-2026-65640 yana bir bor shuni ko‘rsatadiki, kiberhujum har doim ham murakkab texnik jarayondan boshlanmaydi. Ba’zan u oddiy rasm yuklash funksiyasidan boshlanishi mumkin.
Hujumchi uchun administrator parolini bilish shart emas — Author hisobini qo‘lga kiritish va maxsus tayyorlangan faylni yuklashning o‘zi hujumning keyingi bosqichiga yo‘l ochishi mumkin.
Shu sababli WordPress administratorlari xavfsizlikni faqat “sayt ishlayaptimi yoki yo‘qmi?” degan mezon bilan emas, balki “saytga kim kira oladi, qanday fayl yuklay oladi va yuklangan fayl serverda qanday qayta ishlanadi?” degan savollar asosida baholashi kerak.
WordPress 7.0.4 yangilanishini kechiktirmang. Ayniqsa Author darajasidagi foydalanuvchilarga ega va rasm yuklash funksiyasidan foydalanadigan saytlar uchun mazkur yangilanishni o‘rnatish muhim xavfsizlik chorasi hisoblanadi.