Ingliskeelsest e-poest välja logides peaks lõppema ka sinu seanss sama poe eestikeelsel domeenil. Just selles üleandmises võib vanem WPML-i seadistus avada veel ühe sissepääsu kasutajakontole.
Aga tingimused loevad. CVE-2026-76877 puudutab eraldi keeledomeenide ühekordset sisselogimist ehk SSO-d ning võidujooksu päris kasutaja väljalogimise ajal. See ei võimalda iga WPML-i lehe kontot ühe päringuga üle võtta. Keeleaadress nagu example.com/et/ ei ole selles ründetees kirjeldatud eraldi domeenidega seadistus.
11. novembri 2026 seisuga on soovitusel selge piirang: Patchstack ütleb otse, et ametlikku parandust pole saadaval. Toetatud stabiilsele WPML 5-le liikumine on mõistlik hooldustöö, kuid ei tõesta selle konkreetse turvaaugu kõrvaldamist.
Kontrolli korraga WPML-i versiooni ja keelte seadistust
Patchstacki 9. novembri 2026 turvahoiatus nimetab mõjutatuks WPML Multilingual CMS-i versioonid kuni 4.9.7, viimane kaasa arvatud. Tegemist on autentimisveaga, mida saab kirjeldatud tingimustel ära kasutada sisse logimata ründaja. CVSS-i hinne on 8,1. Ühtegi parandatud 4.9.x versiooni hoiatus ei nimeta.
Versiooninumber on ainult pool kontrollist. Vaja on teada ka seda, kas eri keeled kasutavad eri domeene ning kas nende vahel jagatakse sisselogitud kasutaja seanssi.
Kujutame näiteks matkavarustuse e-poodi, mille ingliskeelne pood asub aadressil example.com ja eestikeelne aadressil example.ee. Kui kasutaja liigub nende vahel uuesti sisse logimata, tuleb sellist lahendust uurida. Pelgalt WPML-i olemasolu ei kinnita seda konkreetset haavatavust ning mõjutatud versioon ei tõesta sissemurdmist.
Ära otsusta ainult avalehe järgi. Vaata paigaldatud versiooni, WPML-i keelte aadressiseadistust ja tegelikku seansside jagamist koos inimesega, kes lehte hooldab.
Mida väljalogimise võidujooks tähendab?
NVD-s avaldatud Wordfence’i kui CVE määranud asutuse kirjeldus selgitab võidujooksu olukorda WPML-i keeledomeenide SSO väljalogimises. Päris kasutaja väljalogimise ajal võib anonüümsete või jagatud tõendite ehk token’ite käsitlemine anda sisse logimata ründajale selle kasutaja autentimisküpsised, kui ründaja võidab ajastuse võidujooksu.
See puudutab ka administraatorikontosid. Siin ongi ohu tõsisem pool.
Lihtsamalt öeldes kooskõlastab süsteem väljalogimist eri domeenidel, aga võib kirjeldatud tingimustel anda ligipääsu valele osapoolele. Ründajal pole vaja kasutaja parooli. Küll aga on vaja sobivat seadistust ja edukat ajastust väljalogimise ajal. „Parooli pole vaja” ei tähenda „tingimusi pole”.
Selle artikli aluseks olevad teated ei kinnita turvaaugu tegelikku ärakasutamist. Patchstack räägib eeldatavast ärakasutamisest, mitte tuvastatud rünnakutest. Riski tuleb tõsiselt võtta, kuid hoiatusest ei saa järeldada, et keegi on juba sinu lehele pääsenud.
Jäta kaheastmeline autentimine alles, aga ära pea seda paranduseks
Pikk parool ei paranda vigast autentimisküpsiste väljastamist. Ka ebaõnnestunud sisselogimiskatsete piiramine ei lahenda seda, sest tegu pole tavapärase parooli äraarvamisega sisselogimisvormis.
Kaheastmeline autentimine kuulub endiselt administraatorikontode juurde. Jäta see tööle. Samas ei saa eeldada, et tavapärase sisselogimise kontroll takistab mõnel teisel protsessil autentimisküpsiseid väljastamast.
Meie WordPressi sisselogimise turvamise juhend aitab igapäevased kaitsed paika saada. Need on kasulikud kaitsekihid, mitte keeledomeenide SSO probleemi lahendus.
Piira riski enne uuendusnupu vajutamist
Mina alustaksin lühikesest kirjalikust kontrollist, mitte kiirustades töötava poe uuendamisest:
- Pane seadistus kirja. Märgi üles WPML-i versioon, keeledomeenid, seotud WPML-i komponendid ning see, kas domeenidevaheline SSO on kasutusel.
- Küsi WPML-i toest ajutist lahendust. Kui sinu versioon seda toetab, lülita domeenidevaheline SSO välja, kuni ohu kõrvaldamine on kinnitatud. Lase toel sobiv meetod üle kontrollida.
- Kui väljalülitamine pole võimalik, otsi abi mõjutatud keeledomeenide eraldamiseks. See vajab asjatundja juhendamist, eriti kui kliendikontod või ostukorvi seansid liiguvad domeenide vahel.
- Tee enne muudatusi varukoopia. Salvesta nii failid kui ka andmebaas väljapoole töötava lehe serverit. Kontrolli ka taastamise võimalust.
Enne kui töötavat poodi muudad veendu, et tellimuste eest vastutav inimene teab võimalikest muutustest. Ühise sisselogimise ajutine kadumine vajab selgitamist, eriti kui kliendid liiguvad tavaliselt eri keelte vahel.
Ära asenda keeledomeene kergekäeliselt /et/ aadressidega. See on aadresside kolimine, mille puhul tuleb läbi mõelda ümbersuunamised, otsingunähtavus ja olemasolevad lingid. Hoopis teine töö. Ja võimalik, et päris mahukas.
Valmista ette testitud üleminek stabiilsele WPML 5-le
Tootja muudatuste logi järgi ilmus WPML 5.0.0 15. septembril 2026. See sisaldab turvatäiustusi, sealhulgas üht Wordfence’i teatatud probleemi lahendust. Logi ei nimeta aga CVE-2026-76877. Sellest ei piisa, et nimetada 5.0.0 selle turvaaugu kinnitatud paranduseks.
Kontrollitud muudatuste logis on stabiilse versioonina kirjas 4. novembril ilmunud WPML 5.3.0 ning 9. novembril ilmunud 5.3.1-beta.1. Pärast testkeskkonnas katsetamist kasuta parajasti toetatud stabiilset WPML 5 versiooni, mitte beetat. Küsi WPML-i toest eraldi kinnitust, et sinu domeenide SSO risk on lahendatud. Suurema versiooninumbri põhjal ei saa lubada püsivat turvalisust.
Kasuta testkeskkonnas ohutuid testkontosid ja maksete testrežiimi. Üks test konto ei tohiks sisaldada päris kliendi andmeid. Kaitse testkeskkonda avaliku ligipääsu eest ning keela seal päris klientidele kirjade saatmine. Seejärel kontrolli:
- Iga keele lehti, menüüsid, tootelinke ja tõlgitud sisu.
- Sisse- ja väljalogimist seadistatud domeenidel, sealhulgas seda, kas seansid lõpevad ootuspäraselt.
- WooCommerce’i puhul ostukorvi säilimist, kassaprotsessi, tellimuse tekkimist ja kinnituskirju, ilma päris makseid tegemata.
Need kontrollid aitavad leida katkiseid töövooge, kuid ei tõesta turvaaugu puudumist. Kui vajad testkeskkonna, varukoopiate ja uuendamise korraldamiseks abi, on WordPressi hooldus praktiline järgmine samm. Nii ei jää kogu katsetamine töötava e-poe kanda.
Kahtlane konto vajab uurimist, mitte oletusi
Tundmatu administraator või ootamatu tegevus kasutajakontol vajab tahelepanu. Kumbki ei tõesta iseenesest, et põhjuseks on just see turvaauk.
Säilita olemasolevad ligipääsu- ja turvalogid, kontoandmed ning asjakohased kellaajad enne, kui tavapärane puhastus tõendid eemaldab. Küsi majutajalt kiiresti, kui kaua logisid hoitakse. Ära kleebi seansiküpsiseid, paroole ega kliendiandmeid avalikesse tugivormidesse.
Meie häkitud WordPressi taastamise juhend selgitab laiemat taastamisprotsessi. Kui kahtlustad loata ligipääsu, tuleb seansside kontrolli alla võtmise kõrval kavandada ligipääsuandmete ülevaatus. Ülevaatus ja võimalik andmete asendamine vajavad omaniku luba.
Kui vajad uurimiseks ja taastamiseks tegijat, aitab häkitud WordPressi käsitsi puhastamine jõuda juhtunu põhjuseni, mitte eemaldada ainult kõige nähtavamat sümptomit.
Täna kontrollli kahte asja: oma WPML-i versiooni ja seda, kas eraldi keeledomeenid jagavad sisselogimisseansse. Kui mõlemad viitavad kirjeldatud riskile, saada andmed WPML-i toele ning küsi toetatud ajutist kaitseplaani. Ära käsitle pelgalt uuendamist kinnitatud lahendusena.