Ühe nädala jooksul tuli kaks turvauudist, mis panid ka täiesti rahulikuna näiva WordPressi halduspaneeli teise pilguga vaatama. Kõigepealt varastati UpdraftCentrali ühendusvõtmed. Siis tulid PHP2Shelli vead PHP-s endas. Kontrollisime kõiki oma hooldusklientide saite. Tulemus oli hea, aga ma ei taha sellest teha järeldust, et need saidid on iga järgmise rünnaku eest kaitstud. Osa meie seadistusest aitas, osa oli lihtsalt õnn.
Mis tol nädalal juhtus?
17.-18. oktoobril murti sisse UpdraftPlusi arendava TeamUpdrafti süsteemidesse. Ründaja varastas UpdraftCentrali ühendusvõtmed ja kasutas neid ühendatud saitidele käskude saatmiseks. TeamUpdraft on kinnitanud, et nende ühenduste kaudu loodi administraatorikontosid ja paigaldati pahatahtlikke pluginaid. Juhtunu kogu ulatus pole veel teada.
19. oktoobril tuli UpdraftPlusi tasuta versioonile välja 1.26.13 ja Premiumi kasutajatele 2.26.13. Need uuendused tühistavad vanad UpdraftCentrali võtmed. Esimesest hoiatusest kirjutasime loos UpdraftCentrali võtmete varguse ja UpdraftPlusi uuenduse kohta. Hiljem lisandus tähtis täpsustus: 21. oktoobril ütles TeamUpdraft, et Premiumi kasutajad peaksid otsima võõraid pluginaid ja uusi administraatoreid ka siis, kui nad pole UpdraftCentrali kunagi kasutanud.
20.-21. oktoobril tuli PHP2Shell: kaks kriitilist PHP viga, CVE-2026-109618 ja CVE-2026-109619. Parandused on versioonides PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. See pole WordPressi plugina viga. Nupust Update wp-adminis siin ei piisa - majutaja peab PHP parandama ja taaskäivitama.
Kontrollisime hooldusklientide saite midagi muutmata
Vaatasime kõik oma hoolduspaketis olevad saidid üle samal ja järgmisel päeval. See oli ainult lugemisõigusega audit: kontrolli käigus me saitidel midagi ei muutnud. Panime leiud kirja ja andsime neist teada.
Selline ülevaatus käib meie WordPressi hoolduse juurde, alates 39€ kuus. Sel nädalal ei tundunud see küll tavalise rutiinina. Koduleht võib külastaja jaoks täiesti normaalne välja näha, samal ajal kui halduses istub võõras administraator. „Avaleht avaneb” pole seega kuigi hea turvakontroll.
- Ükski meie hooldusklientide sait ei saanud pihta UpdraftPlusi rünnakus ega PHP2Shelli tõttu. Me ei leidnud ka PHP2Shelli ärakasutamise märke.
- Kõigil neil saitidel oli UpdraftPlusi tasuta versioon. Ükski neist polnud ühendatud UpdraftCentrali ega TeamUpdrafti kontoga, nii et varastatud ühendusvõtmega ei saanud nende saitideni jõuda.
- Me ei leidnud tundmatuid pluginaid ega uusi administraatorikontosid, nagu UpdraftCentrali rünnak on alates 17. oktoobrist teistele saitidele jätnud.
- Pärast seda kontrolli on iga meie leitud kliendi UpdraftPlusi koopia versioonil 1.26.13, ka väljaspool meie hoolduspaketti olevatel saitidel.
- Umbes 90% kontrollitud saitidest oli majutuses, kus PHP parandati samal päeval. Ülejäänud töötavad vanadel PHP harudel ja viime need üle toetatud versioonile.
Hea tulemus, jah. Aga mitte võlukilp. UpdraftPlusi puhul aitas lihtne setup: polnud tarbetut kaugühendust ega võtit, mida ründaja saanuks kasutada. PHP puhul sõltus tulemus suuresti sellest, kui kiiresti majutajad paranduse tegid.
PHP2Shell pole nii lihtne lugu kui pealkirjadest paistab
Pärast meie esimest PHP2Shelli lugu on infot juurde tulnud. Wordfence’i laboris õnnestus ühe vea kaudu koodi käivitada ainult spetsiaalselt seadistatud PHP ehituses. Sama katse pani tavalise PHP ehituse hoopis kokku jooksma. Teise vea puhul põhjustasid WordPress 7.1.3-ga tehtud katsed koodi käivitamise asemel PHP tõrkeid ja taaskäivitusi.
Kas paikamata server on siis okei? Ei. Wordfence hoiatab endiselt, et seda ei saa ohutuks pidada - rünnakut võidakse konkreetse serveri järgi kohandada. Patchstacki sõnul on majutuspartnerid kinnitanud mitut päris ärakasutamise juhtumit. Cloudflare teatas miljonitest ründekatsetest. Katsetest, mitte miljonitest õnnestunud sissemurdmistest.
Minu meelest on „homme häkitakse kõik ära” liiga kõva jutt. Aga „sait paistab korras, jätame PHP rahule” on liiga muretu. Mõistlik on majutajalt kinnitust küsida nii paranduse kui ka taaskäivituse kohta, mitte otsustada ainult WordPressis nähtava versiooninumbri järgi. Vanema PHP versiooni nägemine ei ütle üksi kogu lugu ära.
Mida saad oma saidil ise kontrollida?
PHP sisemist tööd pole selleks vaja mõista. Võta halduspaneeli jaoks kümme minutit ja saada siis majutajale üks konkreetne küsimus. Hoia vastus alles, et sa ei peaks järgmise turvauudise ajal mälu järgi arvama.
- Uuenda UpdraftPlus. Tasuta plugin olgu vähemalt versioonil 1.26.13, Premium vähemalt versioonil 2.26.13. Ava
Settings > UpdraftPlus > Advanced Tools > UpdraftCentralja kustuta ühendusvõtmed, mida sa ei kasuta. - Premiumi puhul vaata kontod ja pluginad üle. Otsi menüüst
Usersadministraatoreid, keda sa ei tunne. Kontrolli menüüdPlugins, sealhulgas Must-Use pluginaid. Tee seda ka siis, kui sa pole UpdraftCentrali kasutanud. - Küsi PHP paranduse kohta. PHP versiooni leiad teekonnalt
Tools > Site Health > Info > Server. Küsi majutajalt, kas sinu saiti teenindav PHP parandati PHP2Shelli vastu ja taaskäivitati. Vastus „hoiame serverid uuendatud” ei vasta sellele küsimusele. - Kui sul on PHP 8.1 või vanem, planeeri kolimine. Ära oota järgmist ehmatust. Palu saidi hooldajal ühilduvus üle kontrollida ja toetatud PHP versioonile minek kokku leppida. E-poe puhul vaadake enne üle ka ostukorv ja maksmine.
- Hoia alles varu koopiad ajast enne 17. oktoobrit. Kui leiad võõra konto või plugina ära kustuta seda lihtsalt lootuses, et asi on lahendatud. Lase juhtunu põhjus üle kontrollida. Veebilehe puhastamine ja pahavara eemaldamine tähendab ka selle väljaselgitamist, kuidas soovimatu asi sinna sai.
- Eemalda ühendused, mida sa ei kasuta. Vaata üle kaughalduse ühendused ja pluginad, mille paigaldasid kunagise ühekordse töö jaoks. Kui eesmärk on ammu kadunud, pole neil vaja aktiivselt alles olla.
Mida ma meie tulemusest järeldan?
Mul on hea meel, et kontroll ei leidnud UpdraftPlusi rünnakust ega PHP2Shellist mõjutatud hooldusklientide saite. Samas oleks teistsuguste ühenduste või aeglasema majutajaga võinud see nädal minna teisiti. Tasuta UpdraftPlusi paigaldused ilma UpdraftCentrali ühenduseta ei olnud nende varastatud võtmete kaudu kättesaadavad. See on kitsas järeldus, mitte lubadus järgmiste rünnakute kohta.
Tee täna üks asi ära: küsi majutajalt „Kas minu saiti teenindav PHP versioon parandati PHP2Shelli vastu ja taaskäivitati?” Seejärel kontrolli oma UpdraftPlusi ühendusi. Need kaks vastust annavad rohkem kui veel üks hirmutav pealkiri.