Kui su koduleht kasutab YOOtheme Pro’d, vaata täna selle versiooninumbrit. Versioone 5.0.0 kuni 5.0.52 rünnatakse juba veebikesta abil ning parandus on versioonis 5.0.53. Mina olen Andrei ja soovitan teha kaks asja: kõigepealt uuendada, seejärel kontrollida, kas keegi jõudis enne uuendust sisse. Uuendus ei kustuta faili, mille ründaja on juba serverisse jätnud.
Mis YOOtheme Proga juhtus?
YOOtheme Pro on tasuline kujundus ja leheehitaja WordPressile ning Joomlale. Selle pilditöötluses on turvaauk CVE-2026-102785. YOOtheme muudatuste logi järgi parandas 21. oktoobril 2026 välja tulnud versioon 5.0.53 vea, mis võimaldas pilditöötluse kaudu ilma sisselogimiseta serveris koodi käivitada. CVE avaldati järgmisel päeval ja 23. oktoobrist olid saadaval ka näidisrünnakud. CVSS 4.0 hinne on 10.0, ehk maksimum, ning CVE kirje järgi saab rünnakut automatiseerida.
Lihtsalt öeldes lisab pilditöötlus pildi URL-ile allkirja, aga see allkiri ei katnud kõiki lisatavaid pilditoiminguid ega kohta, kuhu tulemus salvestatakse. Ründaja saab võtta sinu lehel juba avaldatud allkirjastatud pildi-URL-i, lisada sellele toiminguid ja lasta serveril kirjutada .php faili kausta wp-content/uploads. Kontot pole vaja.
Siin on üks konks. Server võib vastata HTTP 500 veaga, kuid faili ikkagi valmis kirjutada. Seega ei tähenda vigane päring logis automaatselt, et midagi ei juhtunud. Paigaldatud fail võib olla täiesti kehtiv JPEG-pilt, mille metaandmetesse on peidetud PHP-kood.
Palo Alto Networks Unit 42 tuvastas päriselt käivaid automaatseid rünnakuid. Esimene veebikest kirjutati kaks päeva pärast paranduse ilmumist. Nende raportis kontrollis skanner uut veebikesta umbes kolme sekundi jooksul. Ligikaudu kaks minutit hiljem laadis inimene üles teise veebikesta, kirjutas faile kausta wp-content/uploads/ALFA_DATA/ ja üritas paigaldada kaugjuurdepääsu programmi gsocket. Sellist PHP-faili ei jätaks ma nädalavahetust ootama.
Tee need asjad täna ära
- Kontrolli versiooni. WordPressis vaata
Appearance > Themesalt või YOOtheme kujunduse seadetest. Joomla puhul ava laienduste haldur. Kui kasutusel on 5.0.0 kuni 5.0.52, uuenda versioonile 5.0.53 või uuemale. - Veendu, et uuendus päriselt toimus. YOOtheme Pro on tasuline ning uuendused sõltuvad YOOtheme kontost ja API-võtmest. Aegunud võti võib jätta lehe vanale versioonile, kuigi muud uuendused toimivad. Vaata pärast update’i versiooninumbrit uuesti.
- Kontrolli faile ja logisid. Kui leht töötas pärast umbes 23. oktoobrit haavatava versiooniga, tee seda ka siis, kui praegu näed numbrit 5.0.53. Uuendus sulgeb turvaaugu, mitte ei eemalda varem lisatud veebikesta.
Kui sul on tellitud WordPressi hooldus, küsi hooldajalt kinnitust nii versiooni kui ka uploads-kausta kontrolli kohta. Vastus „uuendused tehtud” katab neist ainult esimese.
Otsi uploads-kaustast PHP-faile
WordPressi kaustas wp-content/uploads ei tohiks tavaliselt PHP-faile olla. Kui sul on ligipääs failihaldurile või SSH-le, alusta sealt. Kui pole, palu need kontrollid teha veebimajutajal või arendajal. Kahtlast PHP-faili ära brauseris ava, et „vaadata, mis see teeb”.
find wp-content/uploads -name "*.php"
find wp-content/uploads -name "yt*.php"
ls -la wp-content/uploads/ALFA_DATA
grep -rl "<?php" wp-content/uploads --include="*.jpg" --include="*.jpeg" --include="*.png"
find wp-content/uploads -type f -newermt 2026-10-21Unit 42 järgi koosnes esimese veebikesta nimi tähistest yt, seitsmest kuueteistkümnendsüsteemi märgist ja lõpust .php. Fail asus otse uploads-kaustas, näiteks yt3a9f0c1.php. Aga ära piirdu ainult selle mustriga. Ka teise nimega PHP-fail kuupäeva järgi nimetatud alamkaustas või ootamatu ALFA_DATA kaust vajab uurimist. Viimane käsk näitab hiljuti muudetud faile laiemalt; uus fail ei ole tingimata pahatahtlik.
Vaata veebipäringute logisid, ka veateateid
Küsi veebimajutajalt ligipääsuloge alates 21. oktoobrist, eriti kui leht oli pärast umbes 23. oktoobrit haavatava versiooniga. Otsi päringuid, mille aadressis esineb yootheme= koos väärtusega FromFile või Save. Vaata ka päringuid uploads-kaustas olevatele .php failidele. Üks vaste ei tõesta veel sissemurdmist, kuid annab põhjuse edasi uurida.
Ära viska HTTP 500 vastuseid kontrollist välja. Fail võis saada kirjutatud enne, kui server vea tagastas. Kui logid puuduvad siis ütle seda inimesele, kes lehte kontrollib. Puuduvat tõendit ei saa puhtaks tulemuseks lugeda.
Keela uploads-kaustas PHP käivitamine
Uploads on piltide ja muude meediafailide, mitte käivitatavate skriptide jaoks. Apache serveris, kus .htaccess reeglid on lubatud, saab failis wp-content/uploads/.htaccess PHP-failidele ligipääsu keelata:
<FilesMatch "\.php$">
Require all denied
</FilesMatch>Nginxi puhul peab samaväärse reegli lisama veebimajutaja serveri seadistusse. .htaccess seal ei tööta. Palu kontrollida, et piirang päriselt toimib. See on lisakaitse, mitte asendus YOOtheme uuendusele või puhastusele. Juba käivitatud käske see tagasi ei pööra.
Kasuta skannerit, aga ära piirdu sellega
Pärast failide ja logide kontrolli käivita oma tavaline pahavarakontroll. See võib leida muidki muudatusi. Samas võib pildina kontrollitav skanner mööda vaadata kehtivast JPEG-failist, mille metaandmetes on PHP-kood. Puhas skann ei tõesta üksi, et leht on korras. Sellest, mida pahavara skanner leiab ja mis võib vahele jääda, kirjutasin eraldi.
Kui kasutad hoopis Joomlat
Haavatavad YOOtheme Pro versioonid ja parandus 5.0.53 puudutavad ka Joomlat. Kontrolli versiooni laienduste haldurist ning otsi oma lehe meedia- ja pildikaustadest PHP-faile. Joomla kaustade ülesehitus erineb WordPressi rajast wp-content/uploads, nii et ära kopeeri ülaltoodud käske ilma failiteed muutmata.
Kui leiad veebikesta
Ära kustuta lihtsalt seda ühte faili ja mine edasi. Esimene veebikest saab käske käivitada ning pakub failide üleslaadimise võimalust. Kui seda on kasutatud, käsitle kogu lehte ja serverikontot võimaliku sissetungi osana. Säilita leitud failide ja logide info, võta ühendust veebimajutajaga ning lase kontrollida, mis veel muutus. Vaata üle haldurikontod, vaheta paroolid ja taasta leht varukoopiast, mille puhtuses oled kindel, või telli korralik puhastus.
Taastamise järjekorra saad lahti võtta juhendi abil: mida teha, kui WordPressi leht on sisse murtud. Kui sa ei taha ise logide ja failide vahel kaevata, aitab veebilehe puhastamise teenus. Ühe faili kustutamise peale ma siin ei panustaks. Esimene võis juba järgmise üles laadida.
Alusta täna versiooninumbrist. Siis kontrolli uploads-kausta, isegi kui uuendus läks läbi. Need on kaks eri tööd.