WordPress uchun keng qo‘llaniladigan All-in-One WP Migration and Backup plaginida yuqori xavfli zaiflik aniqlandi. CVE-2026-19949 sifatida qayd etilgan mazkur zaiflikdan foydalanish orqali autentifikatsiyadan o‘tmagan hujumchi ayrim shartlar bajarilganda sayt ma’lumotlar bazasiga zararli SQL so‘rovlarini kiritishi va yakunda serverda masofadan turib kod ishga tushirishgacha bo‘lgan hujum zanjirini amalga oshirishi mumkin.
Bugungi kunda WordPress dunyodagi eng ommaviy kontent boshqaruv tizimlaridan biri bo‘lib, uning imkoniyatlarini kengaytiruvchi minglab plaginlardan foydalaniladi. Biroq aynan shu keng ekotizim kiberhujumchilar uchun ham katta nishonni yuzaga keltiradi.
2026-yil avgust oyida xavfsizlik tadqiqotchilari tomonidan aniqlangan yangi zaiflik esa ayniqsa e’tiborga molik. Chunki muammo All-in-One WP Migration and Backup plaginining millionlab faol o‘rnatmalariga ta’sir qilishi mumkin. Wordfence ushbu zaiflikni CVE-2026-19949 sifatida qayd etgan va unga CVSS 8.8 — High darajasini bergan.
Zaiflik qaysi plaginda aniqlangan?
All-in-One WP Migration and Backup WordPress saytlarini boshqa serverga ko‘chirish, zaxira nusxasini yaratish, tiklash va ma’lumotlarni import-eksport qilish uchun ishlatiladigan mashhur plaginlardan biridir.
U saytning fayllari va ma’lumotlar bazasini .wpress
formatidagi arxivga jamlab, keyinchalik ushbu arxivdan butun saytni tiklash imkonini beradi.
Aynan shu restore — ya’ni zaxira nusxasini tiklash jarayonidagi mexanizmda xavfsizlik muammosi aniqlangan.
Zaiflik 7.109 va undan oldingi versiyalarga ta’sir qiladi. Muammo 7.110-versiyada bartaraf etilgan.
Eng xavfli jihati — hujumchi tizimga oldindan kirmasligi ham mumkin
CVE-2026-19949’ning asosiy xavfli jihatlaridan biri shundaki, hujumning dastlabki bosqichini amalga oshirish uchun hujumchiga WordPress saytida akkauntga ega bo‘lish shart emas.
Zaiflik unauthenticated second-order SQL injection, ya’ni autentifikatsiyasiz ikkilamchi SQL injection turiga kiradi.
Bu odatiy SQL injection hujumidan biroz farq qiladi.
Bunda zararli SQL kodi saytga kiritilgan zahoti ishga tushmaydi. Hujumchi dastlab o‘zining maxsus tayyorlangan ma’lumotlarini WordPress’ning Trackback mexanizmi orqali saytga joylashtiradi.
Agar saytning ommaviy yozuvlari trackback yoki pingback so‘rovlarini qabul qilsa, hujumchi maxsus tayyorlangan blog nomi va URL manzilini yuborishi mumkin.
Natijada ushbu ma’lumotlar WordPress’ning izohlar jadvalida saqlanadi.
Dastlab esa bu ma’lumotlar oddiy izohga tegishli ma’lumotdek ko‘rinadi.
Asl xavf esa keyingi bosqichda yuzaga chiqadi.
Zararli ma’lumot qanday qilib SQL kodiga aylanadi?
Sayt administratori odatiy ish jarayonida saytning zaxira nusxasini yaratib, keyinchalik uni tiklashi mumkin.
Aynan shu jarayon hujum zanjirining muhim bosqichiga aylanadi.
All-in-One WP Migration and Backup plaginining restore mexanizmi ma’lumotlar bazasini tiklash vaqtida SQL so‘rovlaridagi URL manzillar va ma’lumotlar bazasi jadvallari prefikslarini qayta ishlaydi.
Wordfence aniqlagan muammo esa plagin tomonidan backslash (\
) va qo‘shtirnoq bilan o‘ralgan satrlarni qayta ishlashda foydalaniladigan regular expression mexanizmi bilan bog‘liq.
Muayyan tarzda tayyorlangan zararli ma’lumot ushbu jarayonda o‘zining dastlabki SQL satri chegarasidan chiqib ketishi mumkin.
Natijada avval oddiy matn sifatida saqlangan hujumchiga tegishli ma’lumot bajariladigan SQL kodiga aylanishi ehtimoli yuzaga keladi.
Shu tariqa oddiy ko‘rinadigan ma’lumotlar bazasi yozuvi hujum zanjirining keyingi bosqichiga aylanadi.
Hujumchi maxfiy kalitni qo‘lga kiritishi mumkin
Zaiflikdan muvaffaqiyatli foydalanilganda hujumchi plagin tomonidan ishlatiladigan ai1wm_secret_key
maxfiy qiymatini olishga urinishi mumkin.
Mazkur kalit plagin ichidagi autentifikatsiyasiz import jarayonini himoyalashda muhim rol o‘ynaydi.
Hujumchi ushbu maxfiy ma’lumotni WordPress’ning ommaviy REST API mexanizmi orqali olish imkoniyatiga ega bo‘lsa, keyingi hujum bosqichini amalga oshirish uchun undan foydalanishi mumkin.
Bu esa hujumni oddiy SQL injection’dan ancha xavfli darajaga olib chiqadi.
Yakuniy maqsad — zararli .wpress
arxivini yuklash
Maxfiy kalit qo‘lga kiritilgach, hujumchi plagin import mexanizmiga kirish imkoniyatini qo‘lga kiritishi mumkin.
Keyingi bosqichda esa maxsus tayyorlangan .wpress
arxivini yuklashga urinishi mumkin.
Bunday arxiv ichiga zararli Must-Use (MU) WordPress plaginini joylashtirish mumkin.
MU plaginlar WordPress tomonidan odatiy plaginlardan farqli ravishda avtomatik yuklanadi va shu sababli ularning ichidagi zararli kod ham tizim tomonidan avtomatik ishga tushirilishi mumkin.
Natijada hujumchi WordPress sayti serverida masofadan turib kod bajarish (RCE) imkoniyatiga ega bo‘lishi mumkin.
Sayt to‘liq nazoratdan chiqib ketishi ehtimoli bor
RCE darajasiga yetib kelgan hujumchi uchun xavf yanada ortadi.
Bunday hujum natijasida tajovuzkor:
- saytga webshell joylashtirishi;
- maxfiy ma’lumotlarni o‘g‘irlashi;
- WordPress ma’lumotlar bazasini ko‘chirib olishi;
- qo‘shimcha zararli dasturlarni o‘rnatishi;
- yangi administrator hisoblarini yaratishi;
- mavjud foydalanuvchi hisoblarini o‘zgartirishi;
- sayt kontentini buzishi;
- tashrif buyuruvchilarga zararli kod tarqatishi;
- serverdagi boshqa resurslarga hujumni rivojlantirishi
mumkin.
Shu sababli zaiflikning yakuniy oqibati oddiy ma’lumotlar bazasi manipulyatsiyasi bilan cheklanmay, WordPress saytining to‘liq egallab olinishigacha borishi mumkin.
Hujum uchun administratorning harakati talab qilinadi
Biroq muhim bir jihatni alohida ta’kidlash kerak.
Ushbu hujum zanjiri avtomatik ravishda istalgan saytga darhol qo‘llaniladigan oddiy zaiflik emas.
Hujumchi avval zararli trackback ma’lumotlarini joylashtirishi, keyinchalik esa sayt administratori ushbu zararli ma’lumotlar saqlanganidan so‘ng eksport va undan keyin import/restore jarayonini amalga oshirishi kerak.
Ya’ni, hujum zanjirida administratorning odatiy amaliyoti muhim rol o‘ynaydi.
Biroq bu talab xavfni jiddiy kamaytirmaydi. Chunki saytlarni zaxiralash va kerak bo‘lganda tiklash WordPress administratorlari uchun odatiy va muntazam bajariladigan amaliyot hisoblanadi.
Zaiflikni kim aniqladi?
CVE-2026-19949 xavfsizlik tadqiqotchisi Jack Taylor tomonidan aniqlangan.
Tadqiqotchi zaiflikni 2026-yil 14-avgust kuni Wordfence’ning Bug Bounty dasturi orqali xabar qilgan.
Zaiflik uchun unga 5 761 AQSh dollari miqdorida mukofot to‘langan.
Wordfence ma’lumotlariga ko‘ra, zaiflik 2026-yil 24-avgust kuni ommaga e’lon qilingan.
Bu holat bug bounty dasturlarining amaliy ahamiyatini ham yana bir bor ko‘rsatadi. Mustaqil xavfsizlik tadqiqotchilari dasturiy ta’minotdagi yashirin zaifliklarni aniqlab, ishlab chiquvchilarga ularni hujumchilar foydalanishidan oldin bartaraf etish imkonini beradi.
Ishlab chiquvchi muammoni tezda bartaraf etdi
Zaiflik haqida xabar olingach, ServMask — All-in-One WP Migration and Backup plaginini ishlab chiquvchi kompaniya — muammoni bartaraf etish ustida ish olib bordi.
2026-yil 20-avgust kuni 7.110-versiya chiqarilib, CVE-2026-19949 bilan bog‘liq muammo tuzatildi.
Wordfence esa Premium, Care va Response foydalanuvchilari uchun himoya qoidalarini 2026-yil 16-avgustdayoq joriy qilgan. Bepul Wordfence foydalanuvchilari uchun ushbu himoyani keyinchalik taqdim etish rejalashtirilgan.
Sayt administratorlari nima qilishi kerak?
Mazkur zaiflik millionlab WordPress o‘rnatmalariga ta’sir qilishi mumkinligi sababli sayt egalari va administratorlari quyidagi choralarni ko‘rishi tavsiya etiladi.
1. Plaginni darhol yangilang
Agar saytda All-in-One WP Migration and Backup 7.109 yoki undan eski versiyasi o‘rnatilgan bo‘lsa, uni imkon qadar tezroq 7.110 yoki undan keyingi xavfsiz versiyaga yangilash lozim.
2. Trackback va pingback’larni tekshiring
Agar sayt ushbu funksiyalardan foydalanmasa, Trackback/Pingback imkoniyatlarini o‘chirib qo‘yish tavsiya etiladi.
Bu hujum zanjirining dastlabki bosqichini cheklashga yordam beradi.
3. Shubhali izohlarni tekshiring
Ayniqsa yaqinda paydo bo‘lgan noma’lum yoki g‘ayrioddiy URL manzillar, blog nomlari va izohlarni tekshirish zarur.
Biroq faqat shubhali izohlarni o‘chirishning o‘zi yetarli himoya hisoblanmaydi. Asosiy chora — zaif plaginni yangilash.
4. Administrator hisoblarini tekshiring
Saytda kutilmaganda paydo bo‘lgan administrator yoki yuqori imtiyozli foydalanuvchi hisoblari mavjudligini tekshirish kerak.
5. Noma’lum plagin va fayllarni qidiring
Agar sayt zaif versiyada ishlagan bo‘lsa, administratorlar noma’lum plaginlar, MU plaginlar, webshell’lar yoki boshqa shubhali fayllar paydo bo‘lgan-bo‘lmaganini tekshirishi lozim.
6. Zaxira nusxalarini ham tekshiring
Zaxira fayllari sayt xavfsizligining muhim qismi bo‘lsa-da, ular ham ishonchli va toza manbadan olingan bo‘lishi kerak.
Agar tizim komprometatsiya qilingan bo‘lishi ehtimoli mavjud bo‘lsa, shubhali zaxira nusxasidan saytni qayta tiklash vaziyatni yanada murakkablashtirishi mumkin.
Bu zaiflikdan qanday xulosa chiqarish mumkin?
CVE-2026-19949 yana bir muhim haqiqatni ko‘rsatmoqda: kiberhujum har doim ham birgina zaiflikdan foydalanish bilan cheklanmaydi.
Bu holatda hujum zanjiri bir nechta bosqichdan iborat:
Trackback → zararli ma’lumotni saqlash → saytni eksport qilish → restore jarayoni → SQL Injection → maxfiy kalitni qo‘lga kiritish → zararli .wpress
arxivini import qilish → MU plagin → RCE → saytni to‘liq egallash.
Aynan shu sababli zamonaviy kiberxavfsizlikda faqat bitta zaiflikni aniqlash emas, balki butun hujum zanjirini tushunish nihoyatda muhim.
CVE-2026-19949 — WordPress ekotizimidagi millionlab saytlar uchun jiddiy xavf tug‘dirishi mumkin bo‘lgan yuqori darajadagi zaiflikdir. Muammo All-in-One WP Migration and Backup plaginining 7.109 va undan oldingi versiyalarida mavjud bo‘lib, autentifikatsiyadan o‘tmagan hujumchi maxsus tayyorlangan ma’lumotlar orqali ikkilamchi SQL injection hujumini boshlashi va ayrim shartlarda uni masofadan kod bajarishgacha rivojlantirishi mumkin.
Zaiflikning eng xavfli tomoni — hujumchi dastlab saytga kirish huquqiga ega bo‘lmasdan ham hujum zanjirini boshlashi mumkinligidir. Administratorning odatiy eksport va restore amaliyoti esa ushbu zanjirni keyingi bosqichga olib o‘tishi mumkin.
Shu sababli All-in-One WP Migration and Backup foydalanuvchilari plaginni zudlik bilan 7.110 yoki undan keyingi xavfsiz versiyaga yangilashi, keraksiz Trackback/Pingback funksiyalarini o‘chirishi, shubhali izohlar va foydalanuvchi hisoblarini tekshirishi hamda sayt fayllari va plaginlarida noma’lum o‘zgarishlar mavjudligini nazorat qilishi lozim.
Kiberxavfsizlikda eng yaxshi himoya — zaiflikdan foydalanilishini kutish emas, balki uning eshigini hujumchi kelishidan oldin yopishdir.