Diqqat! WordPress tizimidagi kritik zaiflik orqali serverlarni egallaşga 240 mingdan ortiq uriniş amalga oşirildi!
WordPress kontentlarni boşqariş tizimida (CMS) aniqlangan va masofadan turib zararli kodni bajariş imkonini beruvçi zaiflik kiberjinoyatçilar tomonidan faol nişonga olinmoqda. Mutaxassislarning maʼlumotlariga köra, mazkur zaiflikdan foydalanişga qaratilgan 240 mingdan ortiq uriniş qayd etilgan. Hujumlar 2026-yil 28-oktabr kuni, yaʼni WordPress tomonidan xavfsizlik yangilanişi çiqarilgan kunning özida boşlangan.
CVE-2026-119977 identifikatori bilan röyxatga olingan mazkur zaiflikka CVSS baholaş tizimi böyiça 8.1 ball berilgan bölib, u yuqori xavf darajasiga ega. Zaiflik WordPress Core tizimining 4.7 versiyasidan 7.1.3 versiyasigaça bölgan, tegişli xavfsizlik tuzatişlari örnatilmagan tarmoqlariga taʼsir körsatadi.
Mazkur holat tajovuzkorga saytga autentifikatsiyadan ötmasdan, yaʼni foydalanuvçi hisob maʼlumotlariga ega bölmagan holda ham, yangilaniş jarayonidagi qisqa vaqt oraliğidan foydalanib, serverda ixtiyoriy kodni bajariş imkonini berişi mumkin.
Uşbu xavfning jiddiyligini inobatga olgan holda, AQŞ Kiberxavfsizlik va infratuzilma xavfsizligi agentligi (CISA) 2026-yil 3-noyabr kuni zaiflikni amalda foydalanilayotgan zaifliklar röyxati — Known Exploited Vulnerabilities (KEV) katalogiga kiritdi. Bu esa mazkur zaiflikdan foydalanişga qaratilgan real hujum faoliyati mavjudligini tasdiqlaydi.
Zaiflik qanday işlaydi?
WordPress tizimining asosiy fayllarini töliq yangilaş vaqtida örnatiş uçun zarur bölgan fayllar vaqtinçalik ravişda /wp-content/upgrade/ katalogi ostiga joylaştiriladi. Yangilaniş jarayoni tugagaç, uşbu vaqtinçalik fayllar öçirilişi yoki tegişli joyga köçirilişi kerak.
Biroq zaif versiyalarda mazkur kataloglarning nomlari oldindan taxmin qiliş mumkin bölgan şaklda yaratilgan. Bundan taşqari, ulardagi fayllarga taşqi tarmoq orqali murojaat qiliş imkoniyati mavjud bölgan.
Şu sababli, tajovuzkorlar saytning asosiy yangilaniş jarayoni davom etayotgan vaqtda vaqtinçalik katalog nomlarini aniqlab, ular içida joylaşgan PHP fayllariga töğridan-töğri sörov yuborişi mumkin.
Hujumning asosiy mexanizmi TOCTOU (Time-of-check to Time-of-use) deb ataluvçi vaqtga boğliq poyga holatiga (Race Condition) asoslangan. Bunda tizim tomonidan fayl yoki katalogning holati tekşirilgan vaqt bilan undan foydalanilgan vaqt oraliğida yuzaga keladigan nomuvofiqlikdan foydalaniladi.
Mazkur hujumni muvaffaqiyatli amalga oşiriş uçun tajovuzkor vaqtinçalik örnatiş fayllari mavjud va taşqi tarmoqdan foydalaniş mumkin bölgan juda qisqa vaqt oraliğini töğri aniqlaşi kerak. Yangilaniş yakunlanib, vaqtinçalik fayllar öçirilganidan söng esa uşbu imkoniyat yöqoladi.
Şu bois, zaiflikdan foydalaniş yuqori murakkablikka ega bölsa-da, avtomatlaştirilgan sörovlarni takroran yuboriş orqali hujumçilarning kerakli vaqt oraliğiga duç keliş ehtimoli ortadi.
240 mingdan ortiq hujum urinişlari qanday oqibatlarga olib kelişi mumkin?
Wordfence tomonidan taqdim etilgan tahlillarga köra, hujumçilar zaiflik mavjud bölgan vaqtinçalik kataloglardagi setup-config.php faylini nişonga olgan. Uşbu fayl WordPress tizimini dastlabki sozlaş va örnatiş jarayonida foydalaniladi.
Agar tajovuzkor kerakli vaqtda mazkur faylga murojaat qilişga muvaffaq bölsa, WordPress örnatiş jarayonini boşqariş orqali yangi administrator hisobini yaratişi va serverga zararli PHP kodlarini joylaştirişi mumkin.
Bunday holat quyidagi xavfli oqibatlarga olib kelişi ehtimoli mavjud:
- Sayt ustidan nazoratni qölga kiritiş: yangi administrator hisobini yaratiş orqali tajovuzkor sayt boşqaruv paneliga töliq kiriş imkoniyatiga ega bölişi mumkin.
- Zararli kodlarni joylaştiriş: serverga zararli PHP fayllari va yaşirin boşqaruv vositalari (Backdoor) yuklanişi mumkin.
- Maʼlumotlarni öğirlaş: foydalanuvçilarning şaxsiy maʼlumotlari, autentifikatsiya maʼlumotlari va boşqa muhim axborotlar qölga kiritilişi mumkin.
- Sayt faoliyatini özgartiriş: veb-sahifalar mazmunini almaştiriş, zararli havolalar joylaştiriş yoki taşrif buyuruvçilarni soxta sahifalarga yönaltiriş mumkin.
- Keyingi kiberhujumlar uçun foydalaniş: zararlangan server boşqa tizimlarga hujum uyuştiriş yoki zararli dasturlarni tarqatiş vositasiga aylantirilişi mumkin.
Wordfence kuzatuvlariga köra, hujum faolligi 2026-yil 29-oktabrdan 1-noyabrgaça bölgan davrda yuqori bölgan. Xususan, 30-oktabr kuni xavfsizlik devori (Firewall) tomonidan 74 mingdan ortiq zararli sörov bloklangan.
Taʼkidlaş joizki, qayd etilgan 240 mingdan ortiq körsatkiç muvaffaqiyatli amalga oşirilgan kiberhujumlar yoki zararlangan veb-saytlar sonini anglatmaydi. Bu — zaiflikdan foydalanişga qaratilgan va xavfsizlik vositalari tomonidan aniqlangan hamda bloklangan sörovlar sonidir. Hujum urinişlarining köpligi serverga ruxsatsiz kiriş amalga oşirilganini öz-özidan anglatmaydi.
Zaiflikdan himoyalaniş va bartaraf etiş böyiça tavsiyalar
WordPress işlab çiquvçilari aniqlangan muammoni bartaraf etiş maqsadida 2026-yil 28-oktabr kuni WordPress 7.1.4 xavfsizlik yangilanişini çiqardi. Şuningdek, avvalgi versiyalardan foydalanayotgan tizimlar uçun ham tegişli xavfsizlik tuzatişlari eski tarmoqlarga qayta moslaştirilgan (Backport).
Mazkur yangilaniş vaqtinçalik kataloglarni boşqariş mexanizmini takomillaştiriş orqali ularning oldindan taxmin qilinişiga va ulardan ruxsatsiz foydalanilişiga yöl qöymaslikka qaratilgan. WordPress işlab çiquvçilari xavfsizlik yangilanişini imkon qadar tezroq örnatişni tavsiya qilmoqda. WordPress News+3
Tizim administratorlari va veb-sayt egalari quyidagi xavfsizlik çoralarini amalga oşirişlari lozim:
- WordPress tizimini yangilaş. WordPress 7.1.4 yoki foydalanilayotgan eski versiya tarmoği uçun çiqarilgan tegişli xavfsizlik tuzatişlarini örnatiş. Yangilaniş muvaffaqiyatli yakunlanganini boşqaruv paneli orqali tekşiriş zarur.
- Vaqtinçalik kataloglarga kirişni çeklaş. Veb-server va WAF (Web Application Firewall) sozlamalari orqali /wp-content/upgrade/ katalogi ostidagi PHP fayllariga taşqi tarmoqdan töğridan-töğri murojaat qilişni çeklaş. Bu qöşimça himoya çorasi bölib, xavfsizlik yangilanişini örnatiş örnini bosa olmaydi.
- Veb-server jurnallarini tahlil qiliş. Xususan, /wp-content/upgrade/ katalogiga va undagi setup-config.php fayliga yönaltirilgan şubhali HTTP/HTTPS sörovlarini aniqlaş. Bunda yangilaniş amalga oşirilgan vaqt oraliğiga alohida eʼtibor qaratiş lozim.
- Administrator hisoblarini tekşiriş. WordPress boşqaruv panelida yaqinda yaratilgan, nomaʼlum yoki ruxsatsiz administrator hisoblarini aniqlaş va ularning faoliyatini tekşiriş.
- Zararli fayllarni aniqlaş. Saytning asosiy kataloglari, plaginlar, mavzular va vaqtinçalik yangilaniş kataloglarida ruxsatsiz joylaştirilgan PHP fayllari, Backdoor va boşqa şubhali obyektlarni qidiriş.
- Zaxira nusxalarini yaratiş. Veb-sayt fayllari va maʼlumotlar bazasining muntazam zaxira nusxalarini yaratiş hamda ularning tiklaş imkoniyatini tekşirib boriş.
- Qöşimça himoya mexanizmlaridan foydalaniş. WAF, zararli sörovlarni aniqlaş va bloklaş vositalari, şuningdek, serverdagi fayllar yaxlitligini nazorat qiliş mexanizmlarini faollaştiriş.
Alohida taʼkidlaş kerakki, Wordfence tavsiyalarida vaqtinçalik yangilaniş kataloglaridagi PHP fayllariga kirişni çeklaş uçun uning kengaytirilgan himoya rejimi — Extended Protection talab etilişi qayd etilgan. Buning sababi, yangilaniş jarayonida joylaştirilgan ayrim PHP fayllari WordPress tizimining odatiy yuklaniş mexanizmini çetlab ötgan holda bajarilişi mumkin. Şu sababli, faqat standart WordPress xavfsizlik qoidalariga tayaniş yetarli bölmasligi mumkin.
Komprometatsiya indikatorlari (IOC)
Mazkur zaiflikdan foydalanişga qaratilgan hujumlarni aniqlaş va tarmoq infratuzilmasida şubhali faollikni kuzatiş maqsadida quyidagi komprometatsiya indikatorlaridan foydalaniş tavsiya etiladi.
| Indikator | Turi |
|---|---|
103.59.160[.]171 | IPv4 manzil |
2001:df1:e8c0[::]106b | IPv6 manzil |
51.89.103[.]78 | IPv4 manzil |
185.177.72[.]61 | IPv4 manzil |
195.3.220[.]7 | IPv4 manzil |
96.62.218[.]148 | IPv4 manzil |
20.217.186[.]29 | IPv4 manzil |
87.58.197[.]83 | IPv4 manzil |
154.26.238[.]8 | IPv4 manzil |
20.46.43[.]126 | IPv4 manzil |
/wp-content/upgrade/ | URL yo‘li |
setup-config.php | PHP fayl nomi |
/wp-content/upgrade/wordpress-6.9.11/wp-admin/setup-config.php | Namunaviy so‘rov yo‘li |
Keltirilgan IP-manzillar va URL yöllarini tahlil qilişda ularni alohida-alohida emas, balki veb-server jurnallari, WAF qaydlari va boşqa xavfsizlik vositalaridan olingan maʼlumotlar bilan birgalikda tekşiriş lozim. Şuningdek, mazkur indikatorlarning mavjudligi har doim ham server zararlanganini anglatmaydi.
CVE-2026-119977 zaifligi WordPress tizimining yangilaniş jarayonidagi vaqtinçalik fayllar va kataloglarni boşqariş mexanizmidagi kamçiliklar kiberhujumçilar tomonidan qanday foydalanilişi mumkinligini körsatadi. Zaiflikdan foydalaniş uçun serverda yangilaniş jarayoni davom etayotgan qisqa vaqt oraliğini aniqlaş talab etilsa-da, hujumçilarning 240 mingdan ortiq urinişlari uşbu muammoga jiddiy eʼtibor qaratiş zarurligini körsatmoqda.
Ayniqsa, mazkur zaiflikning autentifikatsiyasiz masofadan kod bajariş imkoniyatini yuzaga keltirişi va CISA tomonidan amalda foydalanilayotgan zaifliklar röyxatiga kiritilişi uning xavflilik darajasini yanada oşiradi.
Şu munosabat bilan, WordPress platformasida faoliyat yurituvçi taşkilotlar va veb-sayt administratorlariga tizim versiyasini zudlik bilan tekşiriş, tegişli xavfsizlik yangilanişlarini örnatiş hamda server jurnallarini tahlil qiliş tavsiya etiladi.
