wmaraci reklam

WordPress’in Tüm Sürümlerinde (4.9.6 Dahil) Kritik Güvenlik Açığı Keşfedildi!

İnternet dünyasındaki tüm internet sitelerinin yüzde 30’una hayat vermesi, WordPress’i siber suçluların birincil hedefine dönüştürüyor. İnternet korsanları çeşitli menfaatleri için WordPress’in açıklarını tarıyor ve buldukları açıkları Exploit haline getirerek toplu olarak binlerce internet sitesinden faydalanmayı hedefliyor. WordPress’in son sürümü 4.9.6 dahil tüm sürümlerinde olduğu düşünülen açık, bu açıdan hepimiz adına önem teşkil ediyor.

RIPSTECH adında bir güvenlik WordPress’in çekirdek kodu üzerinde bulunan ve 7 ay önce WordPress’e bildirilen kritik açık, yetkisiz kişilerin WordPress üzerindeki bazı dosyaları silmelerine imkan tanıyor. Kimliği doğrulanmış isteğe bağlı dosya silme güvenlik açığı (authenticated arbitrary file deletion vulnerability) olarak adlandırılan kritik açık, özellikle çoklu yazarlara sahip WordPress sitelerine sahipseniz, sizi de ilgilendiriyor olabilir.

Açıktan kimler etkileniyor?

RIPSTECH’in keşfettiği WordPress açığı, içeriği hazırladığım tarihte henüz yamalanmamış olmakla birlikte WordPress 4.9.6 sürümü dahil tüm WordPress sürümlerinde mevcut. Açığı kullanan internet korsanları, medya dosyalarını düzenleme ve silme yetkisini maniple ederek, WordPress’e ilişkin dosyaları silebiliyorlar. Açığın uygulanabilmesi için, en azından medya düzenleme ve silme yetkisine sahip “Yazar/Author” rolü üstlenen yetkili hesaba sahip olunması gerekiyor.

Yazılımda Dikey Monitör Neden Kullanılıyor?
İlginizi Çekebilir!

Yazılımda Dikey Monitör Neden Kullanılıyor?

Günlük işlerinde bilgisayar kullananlar için monitörlerin yatay olarak yerleştirilmesi ne kadar doğalsa, bazı iş gruplarında, profesyonel olarak bilgisayar başında oturan kişiler için de dikey konumlandırılmış monitörler o kadar do...

Korsanlar açığı kullanarak neler yapabilir? Açığın etkisi nedir?

RIPSTECH’in analizlerine göre açığı etkin biçimde kullanmayı başaran kişiler WordPress üzerindeki herhangi bir dosyayı silme yetkisine sahip olabiliyorlar. Ayrıca PHP ve sunucu izinlerinizin elverişli olması halinde, sunucudaki diğer dosyaların silinebilmesi ihtimali söz konusu. En önemlisi açığı kullanan korsanlar index.php ve wp-config.php gibi dosyaları kolayca silebilirler.

Açıktan nasıl korunabilirsiniz?

RIPSTECH’in güvenlik uzmanlarına göre, açığın kalıcı olarak kapatılması için WordPress’in bir güvenlik güncellemesi yayınlaması şart. O zamana kadar geçici bir önlem olarak WordPress kullanıcılarının aşağıdaki kodu WordPress temalarının (kullanılıyorsa Child-theme’nın) functions.php dosyasına yerleştirilmesi gerekiyor:

add_filter( 'wp_update_attachment_metadata', 'rips_unlink_tempfix' );

function rips_unlink_tempfix( $data ) {
    if( isset($data['thumb']) ) {
        $data['thumb'] = basename($data['thumb']);
    }

    return $data;
}

Geçici bir korunma yöntemi olarak kullanılabilecek bu hotfix, dünyaca ünlü Webmaster platformu Webmaster World tarafından da öne çıkarılarak tüm kullanıcıların haberdar olmasını sağladı.

WordPress’in 7 ay önce bildirilen kritik açığa neden el atmadığı ve yeni bir güvenlik yamasını ne zaman yayınlayacağı (ya da yayınlayıp yayınlamayacağı) henüz bilinmiyor. Eğer çok yazarlı bir WordPress sitesine sahipseniz, geçici hotfix’i uygulayarak riskleri bertaraf edebilirsiniz. Açığın detayları için de buradaki blog yayınını inceleyebilirsiniz.

WordPress’in 7 ay önce bildirilen açığı hala kapatmamış olması hakkındaki düşüncelerinizi oldukça merak ediyorum… 

Bu içeriğe tepkini gösterebilirsin! 👍

Bu içerik hakkında daha önce tepki gösterilmemiş. İlk tekpi göstererek yazarlarımıza geri bildirim verebilirsin.

Yorumunuz

    Son Yorumlar

    Site Ayarları
    • Tema Seçeneği
    • Site Sesleri
    • Bildirimler
    • Özel Mesaj Al