WordPress-beveiligingsbedrijf Wordfence heeft in de 24 uur na het uitkomen van een patch bijna 63.000 aanvalspogingen geblokkeerd tegen een ernstig lek in WordPress Core. Het gaat om een kwetsbaarheid voor remote code execution die WordPress-versies 4.7 tot en met 7.1.3 treft, met een CVSS-score van 8,1. Opvallend: het lek heeft geen CVE-nummer gekregen en wordt alleen bijgehouden onder de aanduiding GHSA-4w3m-c66w-69mg.
De oorzaak ligt volgens Wordfence bij voorspelbare, via het web bereikbare staging-paden die WordPress gebruikt bij volledige Core-upgrades. Getroffen versies pakken nieuwe bestanden uit in een voorspelbare map onder wp-content/upgrade, en die kopie bevat ook het WordPress-installatieprogramma. Een aanvaller die zonder inloggegevens op het juiste moment het installatieprogramma opvraagt, kan daardoor interactie krijgen met die tijdelijke kopie en zo uiteindelijk PHP-code laten uitvoeren.
Het venster waarin dit werkt is extreem kort. Er moet sprake zijn van een volledige update met installatiebestanden, publieke web- en PHP-toegang tot de staging-map, een voorspelbaar of ontdekt staging-pad, en genoeg tijd om de aanval af te ronden voordat WordPress de tijdelijke bestanden weer verwijdert. In Wordfence’s eigen testomgeving duurde dat venster slechts enkele seconden.
Dat weerhoudt aanvallers er niet van om het massaal te proberen. Wordfence registreerde in 24 uur 62.969 aanvallen, vooral herhaalde verzoeken aan paden als setup-config.php. De twee grootste bronnen bestookten telkens een kleine groep sites gedurende ongeveer veertien en een half uur, terwijl andere bronnen juist veel variaties op staging-mapnamen en versienummers uitprobeerden.
De patch staat sinds 28 oktober klaar in WordPress 7.1.4. Alex Thomas, die het Threat Response Team van Wordfence leidt, roept beheerders op niet te wachten met updaten. Daarnaast is het zinvol om logs te controleren op verdachte verzoeken aan PHP-bestanden onder wp-content/upgrade, en te checken op onbekende beheerdersaccounts, plugins of PHP-bestanden die niet bij de eigen installatie horen.
Voor Nederlandse WordPress-beheerders is de les dat ook een update zelf een kwetsbaar moment kan zijn. Wie automatische core-updates heeft uitgeschakeld en nog op een oudere versie dan 7.1.4 draait, loopt op dit moment reëel risico, al is de kans dat een specifieke site toevallig binnen zo’n kort tijdvenster wordt geraakt relatief klein. Updaten blijft verreweg de simpelste manier om het risico helemaal weg te nemen.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.