Напоследък WordPress е доста гореща тема, що се касае сигурност. След близо 10 години „мълчание“, изведнъж се появиха няколко критични уязвимости в ядрото на най-популярния CMS в света.
Освен ядрото, в последната седмица на август се появи един зловреден код, който ни грабна вниманието с устойчивостта си. Условното му име е SC-403 и има една неприятна особеност: изтривате заразения файл, а той се връща след секунди.
Причината е, че не става дума за един файл. Кодът се разписва на девет места едновременно – в темата, в базата данни, в drop-in файловете на WordPress, в паметта на PHP процеса, в скрити конфигурационни директиви и дори във вашия собствен браузър, през service worker. Изтриете ли едно копие, останалите го възстановяват. Затова стандартното почистване не просто не помага – то храни заразата.
Как се осъществява пробива
Зловредният код влиза през нещо дребно: остарял плъгин, слаба парола, бекдорнат модул от неофициален източник. Оттам нататък краде администраторски пароли, създава скрит админ акаунт, който не се вижда в списъка с потребители, подправя валидни сесии и се разпространява към всеки друг сайт на същия хостинг акаунт.
Ако подозирате компрометиране, най-важното правило е да не триете файлове един по един на жив сайт – така просто задействате възстановяването. Първо изолирайте сайта и спрете PHP процесите, после премахнете всички копия наведнъж, ротирайте паролите и ключовете в wp-config.php, унищожете сесиите и – това често се пропуска – изчистете service worker-а от браузъра на всеки администратор.
Скритият администратор се хваща лесно с директна заявка към базата, която кодът не може да филтрира:
SELECT u.user_login, u.user_email FROM wp_users u JOIN wp_usermeta um ON um.user_id = u.ID WHERE um.meta_key = 'wp_capabilities' AND um.meta_value LIKE '%administrator%';
Ако тук изскочи акаунт, който не виждате в администрацията – това е достатъчно доказателство.
За да не се ровите на ръка, публикувахме безплатен, отворен инструмент, който само сканира и докладва, но никога не трие: github.com/ux2dev/wordpress-sc403-cleaner.
AI казва тежката си дума
Истинската поука е по-скучна от самата заплаха. Едва ли зад SC-403 стои гений – просто устойчивост, която доскоро изискваше елитен екип, днес е евтина. А причината да е толкова упорит е една: при типичния споделен хостинг PHP процесът е собственик на файловете, които изпълнява. Тоест „да изпълниш код“ и „да презапишеш кода“ са едно и също право, и никаква настройка вътре в WordPress не го променя.
Затова и защитата не е в wp-config.php, а едно ниво по-надолу: PHP потребителят да не е собственик на кода, забранено изпълнение на PHP в uploads/, отделен потребител и пул за всеки сайт. Плюс двуфакторна автентикация за всички администратори, разбира се.
SC-403 не е силен. Просто границата на доверие стои на грешното място. Преместите ли я под PHP, всяко пробиване си остава инцидент, вместо да се превърне в постоянен наемател.
