DIQQAT! WordPress tizimining asosiy zaifligidan foydalanib, veb-serverlarda zararli kodlarni işga tuşiriş holatlari kuzatilmoqda!

AQŞning Kiberxavfsizlik va infratuzilma xavfsizligi agentligi (CISA) WordPress kontentni boşqariş tizimining asosiy qismida (WordPress Core) aniqlangan va hozirda kiberhujumçilar tomonidan faol foydalanilayotgan jiddiy zaiflik haqida ogohlantirdi. Mazkur zaiflikdan foydalaniş orqali hujumçilar veb-serverlarda zararli kodlarni işga tuşirişi hamda sayt infratuzilmasi ustidan nazoratni qölga kiritiş imkoniyatiga ega bölişi mumkin.

2026-yil 3-noyabr kuni CISA uşbu zaiflikni maʼlum ekspluatatsiya qilinayotgan zaifliklar katalogi — Known Exploited Vulnerabilities (KEV) röyxatiga kiritdi. Bu esa zaiflikdan amaliy hujumlarda foydalanilayotgani tasdiqlanganini va undan himoyalaniş çoralarini keçiktirmaslik zarurligini anglatadi.

Zaiflikning texnik xususiyatlari

CVE-2026-119977 identifikatori bilan röyxatga olingan mazkur zaiflik CVSS şkalasi böyiça 8,1 ball bilan baholangan. U WordPress Core tizimining 4.7 dan 7.1.3 gaça bölgan versiyalariga taʼsir körsatadi.

Zaiflikning xavfli jihatlaridan biri şundaki, undan foydalaniş uçun hujumçiga tizimda röyxatdan ötgan hisob qaydnomasi yoki foydalanuvçining harakati talab etilmaydi. Biroq bu zaiflikdan foydalaniş istalgan vaqtda yoki şunçaki zaif WordPress saytiga murojaat qiliş orqali amalga oşmaydi. Hujum muvaffaqiyatli bölişi uçun WordPress Core tizimi töliq yangilanayotgan vaqtga töğri keladigan qisqa muddatli imkoniyatdan foydalaniş talab etiladi.

Muammo WordPress yangilaniş jarayonida yaratiladigan vaqtinçalik kataloglarning nomlari va joylaşuvini oldindan taxmin qiliş mumkinligi bilan boğliq. Tizim yangilaniş paketini yuklab olib, uning tarkibidagi fayllarni wp-content/upgrade katalogi ostida joylaşgan vaqtinçalik papkaga joylaştiradi. Ayrim konfiguratsiyalarda uşbu fayllar yangilaniş jarayoni yakunlanib, vaqtinçalik katalog öçirilgunga qadar internet orqali oçiq bölib qolişi mumkin.

Natijada hujumçi mazkur qisqa vaqt oraliğida vaqtinçalik katalogdagi WordPress örnatiş fayllariga, xususan, örnatiş jarayonini işga tuşiruvçi skriptga murojaat qilişi mumkin. Agar hujumçi uşbu skriptni vaqtinçalik fayllar öçirilişidan oldin işga tuşirişga muvaffaq bölsa, uni özi nazorat qiladigan maʼlumotlar bazasiga ulaş orqali zararli amallarni bajariş uçun şaroit yaratişi mumkin. Bu esa serverda ixtiyoriy kodni bajariş (Remote Code Execution — RCE) xavfini yuzaga keltiradi.

Mazkur hujum mexanizmi texnik jihatdan vaqtni tekşiriş va undan foydalaniş örtasidagi tafovutga asoslangan poyga holati (Time-of-Check to Time-of-Use — TOCTOU) deb ataladi. Bunda hujumçi tizimdagi vaqtinçalik fayllar hali mavjud bölgan, biroq ularni öçiriş jarayoni yakunlanmagan qisqa vaqt oraliğidan foydalanişga urinadi.

Kiberhujumlar faolligi va xavf kölami

naşrining xabariga köra, mazkur zaiflik bilan boğliq hujumlar kuzatilgan dastlabki 21 soat içida vaqtinçalik örnatiş fayllari joylaşgan kataloglarga qaratilgan 18 500 dan ortiq sörov qayd etilgan. Bunday takroriy sörovlar hujumçilarga yangilaniş jarayonidagi qisqa muddatli imkoniyatni qölga kiritiş ehtimolini oşiradi.

Şuningdek, boşqa bir kuzatuvda WordPress saytlariga qaratilgan 24 soat içida 60 471 ta hujum urinişi xavfsizlik devori tomonidan bloklangani maʼlum qilingan. Biroq uşbu körsatkiçlar noyob jabrlanuvçilar yoki muvaffaqiyatli buzib kirilgan saytlar sonini anglatmaydi. Ular faqat qayd etilgan va bloklangan sörovlar miqdorini ifodalaydi.

CISA tomonidan eʼlon qilingan ogohlantirişda hujumçilar yoki hujum kampaniyalari haqida aniq maʼlumot, şuningdek, zararlangan veb-saytlar soni oçiqlanmagan. Şunga qaramay, zaiflikning faol ekspluatatsiya qilinayotgani uning xavf darajasini oşiradi va WordPress asosida faoliyat yurituvçi veb-resurslar uçun tezkor çoralar körişni talab etadi.

Zaiflik bartaraf etildi: WordPress tizimini yangilaş talab etiladi

WordPress işlab çiquvçilari 2026-yil 28-oktabr kuni 7.1.4-versiyasini çiqardi. Mazkur yangilaniş orqali yangilaniş jarayonidagi xavfsizlik muammosi va boşqa aniqlangan zaifliklar bartaraf etilgan. Rasmiy maʼlumotlarga köra, CVE-2026-119977 zaifligi haqida tadqiqotçi Umut Bayram xabar bergan.

Şuningdek, işlab çiquvçilar ayrim eski versiyalar uçun ham xavfsizlik yangilanişlarini taqdim etgan. Biroq WordPress faqat eng sönggi versiyani faol qöllab-quvvatlaşini taʼkidlagan. Şu sababli eski versiyalardan foydalanayotgan administratorlarga tizimni imkon qadar yangi va qöllab-quvvatlanadigan versiyaga ötkaziş tavsiya etiladi.

Himoyalaniş böyiça tavsiyalar

Mazkur zaiflikdan foydalaniş ehtimolini kamaytiriş hamda veb-resurslar xavfsizligini taʼminlaş maqsadida quyidagi çoralarni amalga oşiriş tavsiya etiladi:

  • WordPress Core tizimini zudlik bilan 7.1.4 yoki undan keyingi xavfsiz versiyaga yangilaş. Agar eski tarmoq versiyasidan foydalanilayotgan bölsa, unga tegişli xavfsizlik yangilanişi örnatilganini tekşiriş;
  • boşqaruv panelidagi Daşboard → Updates bölimi orqali yangilaniş muvaffaqiyatli yakunlanganiga işonç hosil qiliş. Avtomatik yangilaniş yoqilgan bölsa ham, uning töliq örnatilganini alohida tekşiriş;
  • yangilaniş jarayoni yakunlangunga qadar wp-content/upgrade katalogiga taşqi tarmoqdan töğridan-töğri murojaat qiliş imkoniyatini çeklaş. Bunda WordPress yangilanişining normal işlaşiga tösqinlik qilmaydigan, server konfiguratsiyasiga mos çeklovlardan foydalaniş;
  • veb-server jurnallarini (access/error logs) muntazam tahlil qiliş va wp-content/upgrade katalogi ostidagi PHP fayllarga yuborilgan şubhali sörovlarni aniqlaş;
  • administrator hisob qaydnomalarini, örnatilgan plagin va mavzularni, şuningdek, veb-serverdagi fayllar tarkibini tekşiriş. Nomaʼlum administratorlar, ruxsatsiz özgartirilgan fayllar yoki şubhali plaginlar aniqlansa, ularni qöşimça tekşiruvdan ötkaziş;
  • veb-ilovalarni himoyalaş devori (WAF) va boşqa xavfsizlik vositalari orqali şubhali sörovlarni aniqlaş hamda bloklaş. Bunda WAF himoyasi zaiflikni bartaraf etuvçi yangilaniş örnini bosmasligini inobatga oliş;
  • zaxira nusxalarini muntazam yaratiş va favqulodda holatlarda veb-resurs faoliyatini tiklaş imkoniyatini taʼminlaş.

WordPress Core tizimidagi CVE-2026-119977 zaifligi yangilaniş jarayonida yuzaga keladigan vaqtinçalik holatdan foydalanişga asoslangan bölib, hujumçilarga veb-serverda zararli kodlarni işga tuşiriş imkonini berişi mumkin. Ayniqsa, yangilaniş jarayonidagi qisqa vaqt oraliğidan foydalaniş talab etilişi uşbu zaiflikni aniqlaş va undan himoyalanişni murakkablaştiradi.

Şu sababli WordPress asosida faoliyat yurituvçi veb-sayt administratorlari va texnik mutaxassislardan foydalanilayotgan tizim versiyasini zudlik bilan tekşiriş, tegişli xavfsizlik yangilanişlarini örnatiş hamda server jurnallarini tahlil qiliş orqali ehtimoliy hujum alomatlarini aniqlaş talab etiladi.

Unutmang: dasturiy taʼminotni öz vaqtida yangilaş va xavfsizlik jurnallarini muntazam nazorat qiliş kiberhujumlarning oldini olişdagi muhim çoralardan biridir.