Võõras täidab su kodulehel kontaktivormi. Veidi hiljem on WordPressi prügikast tühi: seal olnud lehed, postitused ja kommentaarid on jäädavalt kustutatud. WordPressis pole nuppu, millega neid tagasi võtta. Just selline on Avada Builderi turvaaugu kinnitatud mõju - ja vormi täitjal pole vaja kontot ega parooli.
Kõlab kummaliselt spetsiifiliselt? On ka. Aga kui oled hoidnud prügikastis vanu kampaanialehti või tekste, mida võib kunagi uuesti vaja minna, on see üsna valus meeldetuletus: prügikast pole arhiiv. Vaatame, milliseid versioone Avada haavatavus puudutab ja mida saad täna ette võtta.
Millised Avada versioonid on mõjutatud?
Viga on Avada Builderis, ThemeFusioni pluginas, mis tuleb Avada teemaga kaasa. Selle plugina tunnus on fusion-builder ja varem kandis see nime Fusion Builder. Kui näed oma saidil vana nime, oled ikka õiges kohas.
- Mõjutatud: Avada Builder 3.16.1 ja vanemad versioonid, sealhulgas Avada 7.16.1-ga kaasas olev builder.
- Parandatud: Avada Builder 3.16.2, mis tuleb Avada 7.16.2-ga. Uuenda nii teemat kui ka sellega kaasas olevat builderi pluginat.
- Ohutase: CVE-2026-97670 sai CVSS-i skaalal hindeks 9,1 ehk kriitiline. Haavatavuse kasutamiseks pole vaja sisse logida.
Vea leidis Wordfence’i uurija Chloe Chamberland. Patchstack lisas selle oma andmebaasi 9. oktoobril 2026 ja CVE avaldati 10. oktoobril 2026. Sinu saidil kontrolli just plugina versiooni: pluginate nimekirjas peab Avada Builder olema 3.16.2 või uuem. Kui sa ei tea, milline teema ja builder sul aktiivsed on, aitab WordPressi haavatavuste skanner aktiivsed pluginad ja teema üle vaadata.
Kuidas saab vormi saatmine prügikasti tühjendada?
WordPressi hook’ide ehitust pole vaja tunda, et veast aru saada. Vormivälja sisu, mis peaks olema lihtsalt külastaja kirjutatud tekst, võib panna WordPressi käivitama külastaja valitud tegevuse. See juhtub vormi töötlemise käigus, mitte alles siis, kui keegi teavituskirja avab.
- Su saidil on avaldatud Avada vorm, mis saadetakse AJAX-iga. Vormi teavituskirjas on väljade kohatäide. Vaikimisi kasutatav kiri sisaldab
[all_fields], seega tingimustele võib vastata ka üsna tavalise seadistusega vorm. - Külastaja sisestab vormiväljale erilise kujuga dünaamilise sisu tähise, näiteks
{action_hook,...}, ja saadab vormi ära. - Avada Builder tõlgendab seda tähist vormi ja teavituskirja töötlemisel. Nii saab käivituda tähises nimetatud WordPressi tegevushook, ühe päringuga isegi mitu korda.
- Õiguste kontroll vaatab välja
args, aga kontrollimist vajav saadetud sisu asub väljasformData. Kontrollitakse päringu valet osa. - Kinnitatud näites käivitas üks sisselogimata kasutaja päring tegevuse
wp_scheduled_delete. See kustutab prügikastis olevad postitused, lehed ja kommentaarid jäädavalt.
Selle näite käivitamiseks ei pea sa meilis mingit kahtlast linki klõpsama. Piisab vormi saatmisest. Ja kuna vorm on avalik, võib selle täita täiesti võõras inimene, näiteks keegi, kes pole su ettevõttega kunagi suhelnud.
Miks „ainult prügikast” pole väike asi?
Prügikasti kasutatakse päris sageli ajutise arhiivina. Eelmise hooaja kampaanialeht läheb sinna ootama, selle kõrvale pooleli jäänud postitus ja e-poest eemaldatud toode. Mõte on hiljem asjad üle vaadata. Mõnikord see moment lihtsalt ei tule, aga tehtud töö on prügikastis endiselt alles.
Kui need lehed, postitused ja kommentaarid on jäädavalt kustutatud, ei saa neid WordPressis ühe klõpsuga taastada. Varukoopiast võib abi olla, kui vajalikud andmed olid koopias olemas ja taastamine päriselt töötab. Prügikast ei ole backup. Kui loodad taastamisel varukoopiale, loe ka seda, miks hostingu varukoopiast ei pruugi vajalikul hetkel abi olla.
Prügikasti tühjendamine on konkreetne kinnitatud näide, mitte piir sellele, mida viga võimaldab. Teised hook’id võivad põhjustada teenusekatkestuse, näiteks wp_maybe_auto_update. Mõne haavatava kolmanda osapoole plugina kaudu võivad võimalikuks saada ka suuremate õigustega kirjutamistoimingud. Võimalik on ka pime metaandmete lugemine, kuigi selle tulemus saadetakse ainult saidi omaniku meilile.
Patchstack märgib andmebaasis selle kirje nimega „Arbitrary Code Execution”. Nimetused võivad erineda, aga siin kirjeldatud ja kinnitatud käitumine on suvalise tegevuse käivitamine, mitte koodi üleslaadimine ja käivitamine. Täpne kirjeldus aitab sul otsustada, mida kontrollida, ilma et peaks asja hullemaks rääkima.
Mida täna teha: lühike kontrollnimekiri
Alusta versioonidest. Seejärel vaata vormid üle, eriti kui uuendust ei saa kohe teha. Elava e-poe puhul on normaalne tahta enne update’i teada, kas tellimuste vormistamine pärast seda ikka töötab.
- Uuenda Avadat ja Avada Builderit. Eesmärk on Avada 7.16.2 ja Avada Builder 3.16.2 või uuemad versioonid. Avada uuendab kaasas olevaid pluginaid oma töölaua või pluginate vaate kaudu. Ära eelda, et teema uuendamine uuendas automaatselt ka builderi. Kontrolli pärast pluginate nimekirjast builderi versiooni. Enne alustamist vaata ka, miks WordPressi uuendusi ei maksa edasi lükata.
- Ei saa kohe uuendada? Lülita Avada vormidel AJAX-iga saatmine välja või võta vormid ajutiselt avalikust vaatest maha. Teine võimalus on eemaldada teavituskirjadest vormiväljade kohatäited, sealhulgas
[all_fields]. Kontrolli iga avaldatud vormi eraldi - neil ei pruugi olla samad seaded. - Päästa vajalik sisu prügikastist. Taasta tähtsad lehed ja postitused kohe või tee neist varukoopia. Seejärel kontrolli, et saidi backup asuks ka serverist eraldi, ning proovi taastamine läbi. Proovimata taastamise peale lootmine on omajagu riskantne.
- Vaata vormi saabumised üle. Kui salvestad vormi sissekandeid või teavituskirju, otsi sealt ootamatuid looksulgudega tähiseid. Sellise tähise leidmine on põhjus asja uurida, mitte iseenesest tõend, et prügikast tühjendati.
Kas ründajad juba kasutavad seda viga?
Praeguse info järgi pole aktiivset ärakasutamist kinnitatud ja see CVE ei ole CISA KEV nimekirjas. Patchstack peab siiski võimalikuks, et viga hakatakse kasutama massilistes rünnakutes. Uuendamisega pole mõtet venitada. Samas ei tähenda see, et sinu saiti oleks juba rünnatud.
Ära unusta teemaga kaasas olevat pluginat
Tasulised teemad ei uuene wordpress.org-i kaudu samamoodi nagu tavalised pluginad. Teema versiooni on lihtne üle vaadata, aga sellega kaasas olev builder võib märkamata jääda. Just seda paari kontrolliksin siin esimesena. Kui sa ei taha kahe seotud uuenduse jälgimist ise meeles pidada, kuulub see töö WordPressi hoolduse juurde.
Ava täna pluginate nimekiri. Kui Avada Builderi juures seisab endiselt 3.16.1 või vanem versioon, pole töö veel tehtud - isegi kui teema paistab ajakohane.