Ing. Calogero Bono
WordPress 7.1.4 28 अक्टूबर को आया एक सुरक्षा रिलीज़ है, और इसमें कोर अपडेट के दौरान सर्वर पर कोड चलाने देने वाली खामी का सुधार शामिल है। अमेरिकी एजेंसी CISA ने पुष्टि की है कि कमजोरी CVE-2026-119977 का शोषण हो रहा है और इसे KEV कैटलॉग में डाला गया है। यह बात मायने रखती है क्योंकि हमले के लिए साइट पर खाते की जरूरत नहीं होती। अगर आप WordPress साइटें चलाते हैं, तो यह अपडेट टालने लायक नहीं है।
कुछ शब्द, तथ्यों में जाने से पहले। CVE उस कोड को कहते हैं जो किसी ज्ञात कमजोरी की पहचान करता है। TOCTOU (time-of-check time-of-use) एक race condition है, यानी ऐसी गड़बड़ी जिसमें जांच और इस्तेमाल के बीच किसी संसाधन की स्थिति बदल जाती है। RCE का मतलब है दूरस्थ रूप से कोड चलाना। KEV CISA का वह कैटलॉग है जिसमें उन कमजोरियों को रखा जाता है जिनका शोषण साबित हो चुका है। XSS stored वह दुर्भावनापूर्ण स्क्रिप्ट है जो साइट में सेव होकर विज़िटरों तक पहुंचती है।
CVE-2026-119977 खामी क्या है?
Secondo la comunicazione ufficiale di WordPress, si tratta di una कमजोरी अपडेट प्रक्रिया में है, जो अपग्रेड विंडो के दौरान दूरस्थ कोड निष्पादन तक ले जा सकती है। यह सूचना Picus Security के शोधकर्ता Umut Bayram ने दी है।
जैसा BleepingComputer बताता है, समस्या पूर्वानुमेय और वेब से पहुंच योग्य staging पाथ के इस्तेमाल से जुड़ी है, जो पूरे कोर अपडेट के दौरान बनते हैं। The Hacker News के अनुसार CVSS स्कोर 8.1 है, यानी गंभीरता ऊंची है, जबकि हमले की जटिलता अधिक है।
इसका शोषण वास्तव में कितना हो रहा है?
CISA ने इस खामी को KEV कैटलॉग में जोड़ा है और नागरिक संघीय एजेंसियों को 6 नवंबर 2026 तक इसे ठीक करने का आदेश दिया है। एजेंसी ने निजी कंपनियों से भी पैच को प्राथमिकता देने को कहा है।
ये आंकड़े Wordfence से आए हैं, यानी एक सुरक्षा कंपनी के दावे हैं। BleepingComputer 24 घंटों में 13.095 हमले रोके जाने की बात करता है। The Hacker News पहले 21 घंटों में «setup-config.php» पाथ की ओर 18.500 से अधिक अनुरोध और एक अन्य 24 घंटे की खिड़की में 12.632 हमले रोके जाने का उल्लेख करता है। Previdian ने 30 अक्टूबर को अपने honeypot पर तीन प्रयास दर्ज किए।
WordPress 7.1.4 में और क्या ठीक हुआ है?
यह रिलीज़ सिर्फ अपग्रेड तक सीमित नहीं है। आधिकारिक सूची में कोर के ब्लॉकों और फ़ंक्शनों में कई XSS stored खामियां शामिल हैं।
- Categories ब्लॉक, Playlist और इमेज ब्लॉक, कमेंट पेजिनेशन ब्लॉक
- Interactivity API, जिसमें कई XSS और एक denial of service मामला है
- Customizer, जिसमें एक XSS है और अनजान उपयोगकर्ताओं द्वारा अप्रकाशित changeset खोजे जाने की समस्या है
- व्यक्तिगत डेटा हटाने के अनुरोध और गढ़े हुए यूज़रनेम
विशेषाधिकार प्राप्त उपयोगकर्ताओं द्वारा बिना संपादन अधिकार के नोट्स पढ़ने की समस्या भी ठीक हुई है, और eMudhra के रद्दीकरण के कारण रूट सर्टिफिकेट अपडेट किए गए हैं।
2026 WordPress कोर के लिए कठिन साल क्यों है?
BleepingComputer के अनुसार, जुलाई में सुरक्षा टीम ने wp2shell श्रृंखला ठीक की, जिसमें REST API के batch रूट में गड़बड़ी (CVE-2026-63030) और एक SQL injection (CVE-2026-60137) शामिल थे। सार्वजनिक exploit पैच के एक दिन बाद सामने आए।
सितंबर में एक चीनी भाषी हमलावर ने इस श्रृंखला का उपयोग करके छोटे व्यवसायों और सार्वजनिक संस्थाओं के डेटाबेस के 18.500 से अधिक रिकॉर्ड चुराए। यह पूर्व उदाहरण दिखाता है कि पैच और हमले के बीच का समय कितना छोटा हो सकता है। अधिक जानकारी के लिए, हमारी WordPress सुरक्षा गाइड बुनियादी बचाव के उपाय समझाती है।
ध्यान रखने योग्य सीमाएं
हमें नहीं पता कि इन हमलों के पीछे कौन है, और कितनी साइटें प्रभावित हुई हैं। CISA ने शोषण के बारे में विस्तार नहीं दिया है, और हमलों को रोके जाने के आंकड़े Wordfence से आए हैं, जिनकी समय-सीमा अलग-अलग स्रोतों में अलग है। 4.7 तक के पुराने ब्रांचों के सुधार अभी आने बाकी हैं और तैयार होते ही जारी होंगे।
डिजिटल काम करने वालों के लिए क्या बदलता है
अगर स्वचालित अपडेट पहले से शुरू नहीं हुए हैं, तो डैशबोर्ड के अपडेट मेनू से अभी 7.1.4 पर अपडेट करें। अगर आपके पास कोई तय प्रक्रिया नहीं है, तो बिना साइट तोड़े अपडेट करने की हमारी रणनीति अच्छा शुरुआती बिंदु है। जो लोग ग्राहकों की कई साइटें संभालते हैं, उन्हें भूली हुई साइटों की जांच भी करनी चाहिए। सुरक्षा प्लगइन्स की गाइड में तुलना किए गए फ़ायरवॉल मदद करते हैं, लेकिन वे पैच का विकल्प नहीं हैं।
हमारी राय
सबसे असहज बात यह है कि यह खामी ठीक उसी तंत्र में है जिससे आप खुद को बचाते हैं। अपडेट करना ही बचाव है, लेकिन अपडेट के दौरान जोखिम की एक खिड़की खुल जाती है। सकारात्मक पक्ष यह है कि सुरक्षा टीम ने तेजी से जवाब दिया। नकारात्मक पक्ष यह है कि 2026 की रफ्तार तेज है, जुलाई में एक exploit श्रृंखला सामने आई और अक्टूबर में एक और खामी का शोषण हुआ। जो लोग अपडेट को खाली समय का काम मानते हैं, वे इन आंकड़ों के खिलाफ दांव लगा रहे हैं।
अक्सर पूछे जाने वाले सवाल
WordPress 7.1.4 किस चीज़ को ठीक करता है?
यह अपडेट प्रक्रिया में कोड चलाने वाली खामी और कई XSS stored खामियों को ठीक करता है। इसमें एक denial of service मामले का सुधार और रूट सर्टिफिकेट का अपडेट भी शामिल है।
क्या CVE-2026-119977 के लिए खाते की जरूरत होती है?
नहीं। Wordfence के अनुसार, जिसका स्रोत लेख में है, इसके लिए कोई खाता जरूरी नहीं है। लेकिन हमलावर को पूरे कोर अपडेट के दौरान एक छोटी खिड़की का फायदा उठाना होता है।
WordPress 7.2 कब आएगा?
इसकी तारीख 8 दिसंबर तय है। Beta 3 पहले से उपलब्ध है और उसमें लागू होने वाले सुधार शामिल हैं।
क्या पुराने वर्जन को भी पैच मिलेगा?
कुछ हद तक हां। सुधार 4.7 तक के सभी योग्य ब्रांचों में backport किए जा रहे हैं और तैयार होते ही जारी होंगे। WordPress याद दिलाता है कि सक्रिय समर्थन सिर्फ नवीनतम वर्जन को मिलता है।
क्या CISA का नियम भारतीय कंपनियों पर भी लागू होता है?
नहीं, 6 नवंबर की समय-सीमा केवल अमेरिकी संघीय एजेंसियों के लिए है। लेकिन CISA निजी क्षेत्र से भी पैच को प्राथमिकता देने का आग्रह करती है।
अगले हफ्तों में WordPress पर क्या देखें
पैच उपलब्ध है, लेकिन ध्यान अब पुराने ब्रांचों और 7.2 बीटा की ओर जा रहा है। सबसे जोखिम भरा समय वह है जब exploit घूम रहा हो और साइटें अपडेट न हुई हों।
- आप जो पुराने वर्जन अभी इस्तेमाल कर रहे हैं, उनके backport आने की जांच करें और माइग्रेशन की योजना बनाएं।
- सर्वर लॉग में setup-config.php जैसे इंस्टॉलेशन पाथ पर आए अनुरोध खोजें।
- Beta 3 और 7.2 के नोट्स पढ़ें, जो 8 दिसंबर को आने वाला है, और उसके बाद ही प्रोडक्शन में अपडेट करें।
