AQShning Kiberxavfsizlik va infratuzilma xavfsizligi agentligi (CISA) WordPress platformasidan foydalanuvchi tashkilotlar va administratorlar uchun muhim ogohlantirish e’lon qildi. Agentlik ma’lumotiga ko’ra, WordPress Core tarkibida aniqlangan CVE-2026-63030 identifikatoriga ega kritik zaiflik real kiberhujumlarda faol ekspluatatsiya qilinmoqda.

Mazkur zaiflik CISA tomonidan Known Exploited Vulnerabilities (KEV) katalogiga kiritildi. Bu esa zaiflik nazariy emas, balki amalda kiberjinoyatchilar tomonidan qo’llanilayotganini anglatadi. Shu bois CISA barcha tashkilotlarga xavfsizlik yangilanishlarini zudlik bilan o’rnatishni tavsiya qilmoqda.

WordPress dunyodagi eng ommabop kontent boshqaruv tizimlaridan (CMS) biri bo’lib, millionlab davlat tashkilotlari, kompaniyalar, ta’lim muassasalari va shaxsiy veb-saytlar tomonidan qo’llaniladi. Shu sababli WordPress yadrosidagi har qanday jiddiy zaiflik butun internet ekotizimi uchun katta xavf tug’diradi.

Zaiflik nimadan iborat?

CVE-2026-63030 WordPress Core’dagi mantiqiy xatolik (Interpretation Conflict) natijasida yuzaga keladigan zaiflik bo’lib, CWE-436 toifasiga mansub.

Mazkur kamchilik foydalanuvchidan kelayotgan ma’lumotlarni qayta ishlash jarayonidagi nomuvofiqlik sababli yuzaga keladi. Natijada hujumchi zararli SQL so’rovlarini shakllantirib, ma’lumotlar bazasi bilan ishlash mexanizmini manipulyatsiya qilishi mumkin.

SQL Injection hujumlari orqali odatda quyidagi xavflar yuzaga keladi:

• ma’lumotlar bazasidagi maxfiy ma’lumotlarni o’qish;
• foydalanuvchi ma’lumotlarini o’zgartirish yoki o’chirish;
• administrator hisoblarini yaratish yoki boshqarish;
• tizimning ishlash mantig’ini buzish;
• keyingi bosqichdagi hujumlar uchun tayanch nuqtani yaratish.

Mazkur zaiflikning eng xavfli jihati shundaki, u boshqa zaiflik bilan birgalikda ishlatilganda oddiy SQL Injection’dan ancha yuqori darajadagi tahdidga aylanadi.

«wp2shell» ekspluatatsiya zanjiri

Kiberxavfsizlik mutaxassislari CVE-2026-63030 zaifligini CVE-2026-60137 bilan birlashtirib ekspluatatsiya qilish mumkinligini aniqladi.

Mazkur ekspluatatsiya zanjiri «wp2shell» nomi bilan tanilgan.

Ikkinchi zaiflik CWE-89 (SQL Injection) toifasiga kiradi va WordPress ma’lumotlar bazasiga yuboriladigan foydalanuvchi ma’lumotlari yetarli darajada filtrlanmaganda yuzaga keladi.

Har ikkala zaiflik birgalikda ekspluatatsiya qilinganda hujumchi:

• autentifikatsiyadan o’tmasdan;
• foydalanuvchi hisobiga ega bo’lmagan holda;
• WordPress yadrosidan foydalanib

serverda masofadan turib kod bajarish (Remote Code Execution – RCE) imkoniyatiga ega bo’lishi mumkin.

Bu esa veb-server ustidan to’liq nazorat o’rnatish bilan yakunlanishi ehtimolini yuzaga keltiradi.

Hujum oqibatlari qanday bo’lishi mumkin?

Muvaffaqiyatli ekspluatatsiya qilingan taqdirda hujumchilar quyidagi zararli harakatlarni amalga oshirishi mumkin:

• serverga Web Shell joylashtirish;
• zararli PHP skriptlarini ishga tushirish;
• yangi administrator hisoblarini yaratish;
• foydalanuvchilarni phishing sahifalariga yo’naltirish;
• sayt mazmunini o’zgartirish (Defacement);
• zararli dasturlarni tarqatish;
• maxfiy ma’lumotlarni o’g’irlash;
• serverni botnet tarkibiga qo’shish;
• komprometatsiya qilingan server orqali boshqa tizimlarga hujum qilish.

Bunday hujumlar nafaqat veb-saytning ishlashiga, balki tashkilotning obro’si, mijozlar ishonchi va maxfiy ma’lumotlar xavfsizligiga ham jiddiy zarar yetkazishi mumkin.

CISA nega KEV katalogiga kiritdi?

CISA tomonidan Known Exploited Vulnerabilities (KEV) katalogiga kiritiladigan zaifliklar real muhitda ekspluatatsiya qilinayotgani tasdiqlangan xavfsizlik kamchiliklari hisoblanadi.

KEV ro’yxatiga kiritilgan zaifliklar:

• faol kiberhujumlarda qo’llaniladi;
• yuqori xavf darajasiga ega;
• tezkor bartaraf etilishi talab etiladi;
• davlat tashkilotlari uchun majburiy tuzatish muddatlariga ega bo’ladi.

Mazkur holatda CISA:

• CVE-2026-63030 uchun 2026-yil 24-iyul;
• CVE-2026-60137 uchun esa 2026-yil 4-avgust

sanalarigacha barcha federal tashkilotlar zaif tizimlarni yangilashi shartligini belgiladi.

Bu talab Binding Operational Directive (BOD) 26-04 doirasida joriy etilgan.

Ransomware hujumlari bilan bog’liqligi

Hozircha CISA ushbu zaiflik ransomware guruhlari tomonidan qo’llanilayotganini rasman tasdiqlamagan.

Biroq agentlik real ekspluatatsiya holatlari allaqachon kuzatilayotganini ma’lum qilgan.

Tajriba shuni ko’rsatadiki, dastlabki kirish nuqtasi sifatida qo’lga kiritilgan WordPress serverlari keyinchalik:

• ransomware joylashtirish;
• ichki tarmoqqa lateral harakat qilish;
• Active Directory infratuzilmasiga kirish;
• ma’lumotlarni shifrlash;
• ma’lumotlarni sizdirish (Data Exfiltration)

kabi murakkab hujumlarning boshlanish nuqtasiga aylanishi mumkin.

Administratorlar uchun tavsiyalar

WordPress administratorlari va axborot xavfsizligi mutaxassislariga quyidagi choralarni ko’rish tavsiya etiladi:

• WordPress Core’ni ishlab chiquvchi tomonidan taqdim etilgan eng so’nggi xavfsizlik yangilanishiga darhol yangilash;
• WordPress, plagin va mavzularni (Themes) doimiy ravishda yangilab borish;
• foydalanilmayotgan plagin va mavzularni o’chirib tashlash;
• Web Application Firewall (WAF) yechimlaridan foydalanish;
• ma’lumotlar bazasi so’rovlarini muntazam monitoring qilish;
• veb-server va WordPress jurnal (Log) fayllarini tahlil qilish;
• noma’lum administrator hisoblari va ruxsatlardagi o’zgarishlarni tekshirish;
• ikki bosqichli autentifikatsiya (MFA) ni joriy etish;
• minimal huquqlar (Least Privilege) tamoyiliga amal qilish;
• muntazam zaifliklarni skanerlash va xavfsizlik auditlarini o’tkazish;
• ishonchli zaxira nusxalarini yaratish va ularning tiklanishini sinovdan o’tkazish.

Agar xavfsizlik yangilanishini darhol o’rnatish imkoni bo’lmasa, zaif komponentlarga kirishni vaqtincha cheklash, REST API va ma’muriy interfeyslarni himoyalash hamda qo’shimcha monitoring choralarini kuchaytirish tavsiya etiladi.

Chuqurlashtirilgan himoya yondashuvi (Defense-in-Depth)

Mazkur hodisa WordPress xavfsizligini faqat yangilanishlar bilan ta’minlash yetarli emasligini yana bir bor ko’rsatdi.

Tashkilotlar quyidagi ko’p qatlamli himoya choralarini joriy etishlari maqsadga muvofiq:

• kiruvchi ma’lumotlarni qat’iy tekshirish (Input Validation);
• parametrli SQL so’rovlaridan (Prepared Statements) foydalanish;
• WAF va IDS/IPS yechimlarini joriy etish;
• xavfsizlik hodisalarini SIEM tizimlari orqali kuzatish;
• doimiy zaifliklarni boshqarish (Vulnerability Management);
• xodimlarning kiberxavfsizlik bo’yicha xabardorligini oshirish.

Bunday yondashuv zaiflik ekspluatatsiya qilingan taqdirda ham hujumning keyingi bosqichlarga o’tishini sezilarli darajada cheklaydi.

CISA tomonidan CVE-2026-63030 zaifligining KEV katalogiga kiritilishi WordPress foydalanuvchilari uchun jiddiy ogohlantirish hisoblanadi. Bu qaror ushbu zaiflik real kiberhujumlarda faol qo’llanilayotganini va uni bartaraf etishni kechiktirish katta xavf tug’dirishini anglatadi.

Ayniqsa, CVE-2026-63030 va CVE-2026-60137 zaifliklarining «wp2shell» ekspluatatsiya zanjiri orqali birgalikda qo’llanilishi autentifikatsiyasiz masofadan turib kod bajarish (RCE) imkoniyatini yaratishi sababli xavf darajasi yanada ortadi. Bunday hujumlar server ustidan to’liq nazoratni qo’lga kiritish, maxfiy ma’lumotlarni o’g’irlash va foydalanuvchilarni keyingi kiberhujumlarga nishon qilish imkonini beradi.

Shu sababli WordPress’dan foydalanuvchi barcha tashkilotlar va administratorlar tizimlarini zudlik bilan yangilashi, xavfsizlik nazoratlarini kuchaytirishi, server jurnallarini muntazam monitoring qilishi hamda ko’p qatlamli himoya strategiyalarini joriy etishi zarur. Tezkor yangilanish va samarali xavfsizlik boshqaruvi ushbu tahdidning salbiy oqibatlarini oldini olishning eng ishonchli yo’li hisoblanadi.