WordPress 7.0.4: Zranitelnost, která čekala téměř desetiletí

Uvědomujete si rizika při nahrávání obrázků do WordPressu? Pravděpodobně ne. A právě to je problém.

Bezpečnostní tým WordPressu vydal záplatu pro zranitelnost, která se skrývala na očích celých devět let. Útočníci mohli do speciálně upravených PNG souborů vložit PostScript kód, který se následně spustil na serveru po nahrání přes media library.

Tichá hrozba v médiách

Nejzajímavější na této zranitelnosti je fakt, že nešlo o žádný teoretický výzkum. Exploit byl aktivně využitelný v ostrých instalacích WordPressu. Systémy obvykle důvěřují obrázkům bez mrknutí oka — a právě toho útočníci zneužívali.

Mechanismus útoku je promyšlený ve své jednoduchosti. Stačí vytvořit PNG soubor s vnořeným PostScript kódem a nahrát ho běžným způsobem. Za určitých konfigurací serveru se obrázek nespustil pouze jako soubor, ale kód uvnitř se skutečně vykonal.

Role autora jako klíčová brána

Tady přijde ta zajímavá část pro správce a vývojáře. Zneužití této zranitelnosti vyžaduje přístup na úrovni autora. Pokud provozujete WordPress s více autory, nejste jen spoléhali na jejich schopnost psát kvalitní obsah — ve skutečnosti jste jim důvěřovali s přístupem ke spouštění kódu na serveru.

Role a oprávnění uživatelů nejsou jen o kontrole kvality obsahu. Jsou to vaše primární obranná linie proti kompromitaci serveru.

Co dělat hned teď

Máte-li WordPress, aktualizujte okamžitě na verzi 7.0.4. Ale kromě tohoto konkrétního kroku byste měli zvážit několik dalších věcí:

• Projděte si uživatelské role. Kdo skutečně potřebuje možnost nahrávat soubory?
• Zvažte dodatečnou validaci souborů nad rámec výchozího nastavení WordPressu
• Zkontrolujte PHP nastavení vašeho serveru ohledně spouštění nahraných souborů
• Aktivujte automatické aktualizace pro kritické bezpečnostní záplaty

Širší kontext

Tato zranitelnost ilustruje kategorii bezpečnostních problémů, které často unikají pozornosti: důvěra v souborové formáty. V oblasti textů a SQL dotazů už jsme se zlepšili v sanitizaci, ale obrázky, dokumenty a další "pasivní" soubory si v mnoha systémech stále nesou nezaslouženou důvěru.

Pro startupy a vývojáře pracující s WordPressem či podobnými platformami je poučení jasné: počítejte s tím, že každý nahraný soubor je potenciálně nepřátelský, dokud se neprokáže opak. Berte svou media library jako attack surface, ne jen jako úložiště obsahu.

Skutečnost, že tato chyba existovala téměř deset let, než byla odhalena, také ukazuje, proč je aktualizace softwaru důležitější než kdy dříve. Možná právě teď provozujete zranitelný kód, aniž byste o tom věděli.

Zůstaňte aktualizovaní, zůstaňte obezřetní — a možná příště dvakrát zvažte, než nahrajete další obrázek.