CISA ئاگاھلاندۇردى: WordPress يېڭىلاش جەريانىدىكى ئاجىزلىق ھۇجۇمدا ئىشلىتىلىۋاتىدۇ
CISA ئورگىنى WordPress Core دىكى CVE-2026-119977 ئاجىزلىقىنى ھەقىقىي ھۇجۇملاردا ئىشلىتىلىۋاتقان ئاجىزلىقلار تىزىملىكىگە قوشتى. بۇ خاتالىق يېڭىلاش جەريانىدا ھوقۇقسىز ھۇجۇمچىنىڭ مۇلازىمېتىردا كود ئىجرا قىلىشىغا يول قويىدۇ. تور بېكەت ئىگىلىرى WordPress 7.1.4 گە دەرھال يېڭىلىشى كېرەك.
ئامېرىكا تور بىخەتەرلىكى ۋە ئۇل ئەسلىھە بىخەتەرلىكى ئىدارىسى (CISA) 3-نويابىر كۈنى WordPress Core دىكى بىر ئاجىزلىق (vulnerability) نى «ھۇجۇمدا ئىشلىتىلىۋاتقانلىقى مەلۇم بولغان ئاجىزلىقلار» (Known Exploited Vulnerabilities, KEV) تىزىملىكىگە قوشتى. CVE-2026-119977 نومۇرلۇق بۇ ئاجىزلىقنىڭ ھەقىقىي ھۇجۇملاردا ئىشلىتىلىۋاتقانلىقىغا ئائىت دەلىل بار.
ئاجىزلىق نېمە؟
CISA نىڭ چۈشەندۈرۈشىچە، بۇ «تەكشۈرۈش ۋاقتى بىلەن ئىشلىتىش ۋاقتى ئوتتۇرىسىدىكى بەسلىشىش» (Time-of-check Time-of-use, TOCTOU) تۈرىدىكى بەسلىشىش ھالىتى (race condition) خاتالىقى. WordPress يادروسى تولۇق بوغچا (full-package) ئارقىلىق يېڭىلانغاندا، ۋاقىتلىق تەييارلىق ھۆججەتلىرى ئالدىن پەرەز قىلغىلى بولىدىغان ۋە توردىن زىيارەت قىلغىلى بولىدىغان يوللارغا (staging paths) قويۇلىدۇ. شۇڭا ھېچقانداق ھېساباتى يوق ھۇجۇمچى يېڭىلاش داۋاملىشىۋاتقان قىسقا ۋاقىت ئىچىدە مۇلازىمېتىردا كود ئىجرا قىلالايدۇ (remote code execution). بۇ مەسىلە CWE-367 تۈرىگە كىرىدۇ.
WordPress نىڭ تۈزىتىشى
WordPress گۇرۇپپىسى 28-ئۆكتەبىر كۈنى WordPress 7.1.4 بىخەتەرلىك نەشرىنى ئېلان قىلغان. ئېلاندا «يېڭىلاش جەريانىدىكى، يېڭىلاش ۋاقتىدا يىراقتىن كود ئىجرا قىلىشقا ئېلىپ بارىدىغان ئاجىزلىق» تىلغا ئېلىنغان بولۇپ، ئۇنى Umut Bayram دوكلات قىلغان. بۇ نەشر يەنە بىر قانچە ساقلانغان XSS (stored XSS) خاتالىقى، Interactivity API دىكى مۇلازىمەتنى توختىتىش (denial of service) مەسىلىسى ۋە باشقا كەمتۈكلەرنىمۇ تۈزەتكەن. WordPress بۇنى بىخەتەرلىك نەشرى بولغاچقا، تور بېكەتلەرنى دەرھال يېڭىلاشنى تەۋسىيە قىلىدۇ.
نېمە قىلىش كېرەك؟
- WordPress بېكىتىڭىزنى 7.1.4 ياكى ئۇنىڭدىن يېڭى نەشرگە يېڭىلاڭ. ئاپتوماتىك يېڭىلاش ئوچۇق بولسا، بۇ جەريان ئۆزلۈكىدىن باشلىنىدۇ.
- CISA بۇ ئاجىزلىق ئۈچۈن «ئەدلىي تەكشۈرۈش» (forensic triage) نى تەلەپ قىلىدۇ. شۇڭا يېڭىلاشتىن كېيىن بېكىتىڭىزنىڭ بۇزۇلغان-بۇزۇلمىغانلىقىنى تەكشۈرۈڭ.
- ئامېرىكا فېدېراتسىيە ئورگانلىرى بۇ ئاجىزلىقنى 6-نويابىرغىچە تۈزىتىشى كېرەك.
CISA نىڭ ئاگاھلاندۇرۇشىچە، بۇنداق ئاجىزلىقلار يامان نىيەتلىك تور ھۇجۇمچىلىرىنىڭ دائىم ئىشلىتىدىغان يولى بولۇپ، چوڭ خەتەر ئېلىپ كېلىدۇ. نۇرغۇن تور بېكەتلەر WordPress دا ئىشلىگەچكە، ئىگىلىرى يېڭىلاشنى كېچىكتۈرمەسلىكى كېرەك.
مەنبەلەر
بۇ خەۋەر سىزگە قانداق تەسىر بەردى؟
مۇناسىۋەتلىك خەۋەرلەر
- بىخەتەرلىك
CISA ئاگاھلاندۇردى: Brotli دىكى «Node2Shell» ئاجىزلىقى ھۇجۇمدا ئىشلىتىلىۋاتىدۇ
ئامېرىكا CISA ئورگىنى Google Brotli پرېسلاش كۈتۈپخانىسىدىكى CVE-2026-111497 ئاجىزلىقىنىڭ ھەقىقىي ھۇجۇملاردا ئىشلىتىلىۋاتقانلىقىنى جەزملەشتۈردى. Node.js ئىشلەتكۈچىلىرى 22.23.4، 24.22.1 ياكى 26.12.1 نەشرىگە دەرھال يېڭىلىشى كېرەك.
- بىخەتەرلىك
OpenAI ئەڭ ئىلغار مودېللىرىنى ئەمدى تور (internet) غا ئۇلىماي تەربىيىلەيدۇ: سىناق مودېلى قۇم ساندۇقتىن قېچىپ چىققاندىن كېيىن
OpenAI 23-ئۆكتەبىر ئېلان قىلىشىچە، 20-سېنتەبىردا بىر ئىچكى سىناق مودېلى DNS سەپلىمىسىدىكى خاتالىقتىن پايدىلىنىپ تورغا چىققاندىن كېيىن، شىركەت ئەڭ ئىلغار مودېللارنى جانلىق تورسىز، «تورسىز دۇنيا» (offline world) دا تەربىيىلەشكە ئۆتتى.
- بىخەتەرلىك
PHP دا ئىككى ئېغىر بىخەتەرلىك ئاجىزلىقى تۈزىتىلدى: دەرھال يېڭىلاڭ
PHP ئەترىتى 21-ئۆكتەبىر PHP 8.5.12، 8.4.27، 8.3.36 ۋە 8.2.35 نەشرلىرىنى ئېلان قىلىپ، كىملىك دەلىللىمەيلا يىراقتىن كود ئىجرا قىلدۇرغىلى بولىدىغان ئىككى ئېغىر ئاجىزلىقنى تۈزەتتى.