Ebaõnnestunud uuendus. Teise majutaja juurde kolimine, mis läks viltu. Just siis tekib tavaliselt vajadus varukoopia taastada - oled juba närvis ja tahad lihtsalt kodulehe tagasi tööle saada.
Sel nädalal parandasid kaks WordPressi varunduspluginat vead, mille tõttu võis taastamise käigus käivituda kellegi teise varukoopiasse sokutatud SQL-kood. Kahtlased andmed võisid seal juba ammu olla, ilma et miski silma hakkaks. Kui kasutad UpdraftPlusi või Backuplyt, tee uuendus ära enne järgmist taastamist. Mitte keset tulekahju.
UpdraftPlusi turvauuendus: kaks seotud parandust
UpdraftPlus andis 14. oktoobril 2026 välja versiooni 1.26.9. See parandas vea, mis vajas üsna kindlaid tingimusi: administraatori õigusteta ründaja pidi saama panna enda valitud sisu andmebaasi lahtrisse, mille maht ületas 1 MB. Kui omanik seejärel lehest varukoopia tegi ja selle taastas, võis ründaja SQL-kood taastamise ajal käivituda. Veast teatas arendajatele Wordfence.
See ei tähenda, et rünnak käivitub lehte külastades või et iga varukoopia on ohtlik. Aga kui vajalikud tingimused kokku saavad, on just taastamine see moment, mil probleem välja lööb.
15. oktoobril 2026 tuli välja versioon 1.26.10. Jakub Herman oli teatanud teisest, seotud juhtumist. See sai käivituda ainult siis, kui taastamiseks kasutatud andmebaasiserver oli seadistatud teisiti kui server, kus varukoopia tehti. Näiteks võib see ette tulla majutaja vahetamisel. Arendajad soovitavad kõigil uuendada ja sellega olen nõus - katkise e-poe päästmise ajal ei taha keegi hakata serverite seadistusi võrdlema.
Uuendus, 18. okt: 16. oktoobril 2026 tuli välja UpdraftPlus 1.26.11. See parandab 1.26.9 paranduses jäänud augu, mis tuleb mängu ainult siis, kui andmebaasiserver kasutab haruldast SQL-režiimi NO_BACKSLASH_ESCAPES. Sinu lehel seda peaaegu kindlasti pole, aga uuenda ikkagi versioonile 1.26.11 või uuemale.
Kui kasutad UpdraftPlusi tasulist versiooni, otsi sellele vastavat 2.x väljalaset, mitte tasuta plugina versiooninumbrit.
Backuply: profiilitekstist võib saada administraatori konto
Backuply puhul viib sama kehva hetkeni teine tee. Mõjutatud olid versioonid kuni 1.5.8 kaasa arvatud. Parandus tuli versiooniga 1.5.9 välja 1. oktoobril 2026. Vea tähis on CVE-2026-93953 ja selle hinnang 8,0 (kõrge). Wordfence avaldas üksikasjad 15. oktoobril 2026 ning tõi vea leidjana välja uurija daroo.
Lihtsalt öeldes saab sisse loginud kasutaja, kellel on ainult Subscriber-õigused, lisada oma profiili välja Biographical Info spetsiaalselt koostatud teksti. WordPress salvestab selle tabelisse wp_usermeta ja Backuply kopeerib teksti varukoopia SQL-faili. Kui administraator hiljem varukoopia taastab, pääseb see tekst oma õigest kohast välja ja käivitab SQL-käsud andmebaasi täielike õigustega.
Wordfence näitas päris otsest tagajärge: ründaja saab sisse lülitada avatud registreerimise, määrata uute kasutajate vaikimisi rolliks Administrator ja seejärel endale konto registreerida. Need seaded jaavad pärast taastamist paika, sest lehe valikud taastatakse enne kasutajate metaandmeid. Keegi ei pea millelegi klõpsama. Piisab taastamisest.
Kas nüüd peaks paanikasse minema?
Ei. Massilist ärakasutamist pole teada. Rünnak ei käivitu ka pelgalt sellest, et keegi kasutajaks registreerub. Lehe omanik peab taastama varukoopia, mis sisaldab ründaja lisatud andmeid.
Samas teeb viivitus vea kergesti märkamatuks. Kliendikontodega e-poodides, liikmesaitidel ja foorumites satub võõraste sisestatud andmeid varukoopiasse rohkem. Sama kehtib lehtede kohta, kus lubatakse avalikku registreerimist või kommentaare. Majutaja vahetus võib omakorda luua tingimused UpdraftPlusi teise vea käivitumiseks.
Oleme seda mustrit varem käsitlenud loos rünnakust, mis ootab varukoopia taastamist. Seal oli mängus All-in-One WP Migration. Ebamugav osa on ajastus: ründaja paneb midagi täna valmis ja ootab, kuni sul varukoopiat vaja läheb.
Mida teha enne järgmist taastamist?
Ava täna WordPressi pluginate vaade. Ära jäta seda märkuseks, mille juurde tuled tagasi alles siis, kui leht enam ei tööta.
- Kontrolli kõigepealt versioone. Enne taastamist uuenda UpdraftPlus versioonile 1.26.11 (või uuemale) või Backuply versioonile 1.5.9. Tasulise UpdraftPlusi kasutajad peaksid kontrollima vastavat 2.x väljalaset.
- Kui uuendada veel ei saa, pane taastamine pausile. Vana varu koopia pole automaatselt ohutu ainult sellepärast, et tegid selle ise. Küsi enne andmete importimist abi uuenduse tegemiseks.
- Mõtle, mis varukoopiasse jõudis. Kui lehele ilmus kahtlasi kontosid, võib parem lähtekoht olla varukoopia ajast enne nende registreerimist. See pole garantii - võõrad võisid sisestada ka muud sisu.
- Kasuta võimalusel testkeskkonda. Uuenda varundusplugin enne ära ja proovi taastamist eraldi, mitte kohe päris lehel. Enne selle avalikuks tegemist vaata üle taastatud seaded ja kasutajad.
Wordfence’i teatel on selle Premiumi, Care’i ja Response’i tulemüüri kasutajatel Backuply vastu reegel alates 24. septembrist 2026. Tasuta kasutajatele jõuab sama reegel 24. oktoobril 2026. Sellest on abi, aga tulemüüri reegel ei asenda plugina uuendamist.
Kas uuendus teeb juba tabamuse saanud lehe korda?
Ei. Uuendus takistab selle vea käivitumist tulevastel taastamistel. See ei võta tagasi muudatusi, mille haavatava versiooniga tehtud taastamine juba kaasa tõi. Kui oled Backuply varukoopia mõne mõjutatud versiooniga taastanud, vaata seaded praeggu üle. Töötav avaleht ei tõesta, et kõik on korras.
WordPressis mine vaatesse Settings > General ja kontrolli kahte asja:
Anyone can registerehkusers_can_registerpeaks olema välja lülitatud, kui sa avalikku registreerimist ei vaja.New User Default Roleehkdefault_rolepeaks olema Subscriber. Kliendikontodega poes võib see olla Customer. Avalikult registreeruvate kasutajate vaikimisi roll ei tohiks olla Administrator.
Seejärel filtreeri Users nimekiri Administrator-rolli järgi. Kas tunned kõiki kontosid? Vaata ka hiljuti registreerunuid ja kasutajate tutvustusi - kas seal on veidrat, SQL-koodi meenutavat teksti? Sa ei pea seda ise lahti mõtestama. Ootamatu seade või tundmatu administraator on juba piisav põhjus töö seisma panna ja asja uurida.
Kui midagi on valesti, käsitle lehte sissemurtud lehena. Vaheta paroolid, uuri kontosid ja andmebaasis tehtud muudatusi ning küsi vajadusel abi veebilehe puhastamiseks ja pahavara eemaldamiseks. Ainult registreerimise väljalülitamisest ei piisa - ründajal võib administraatori konto juba olemas olla.
Lõpeta iga taastamine kolme minuti kontrolliga
Ka pärast uuendamist võiks varukoopia taastamisel olla üks väike rutiin. Tee see läbi enne, kui ütled teistele, et leht on tagasi:
- Kontrolli seadet
Anyone can register. - Vaata üle
New User Default Role. - Käi Administrator-kontode nimekiri läbi.
See võtab vähe aega, aga võib paljastada väga suure üllatuse. Ja ära piirdu ainult avalehe avamisega. Varukoopia fail on vaid üks osa tööst - varukoopiad ei pruugi vajaduse hetkel toimida. Pane taastamisplaanis kirja, kes uuendab pluginaid, kus taastamist testitakse ja millised seaded pärast üle vaadatakse.
Pane uuendus tänasesse nimekirja
Selline töö peaks WordPressi hoolduse käigus tehtud saama enne, kui katkine leht tähelepanu nõuab. Kui haldad kodulehte ise, ava nüüd pluginate vaade ja kontrolli paigaldatud versiooni. Tee see enne ära. Taastamise keskel on halb avastada, et varundusplugina uuendus jäi tegemata.