AI čte jádro WordPressu: hlášení zranitelností vyskočila z desítek na stovky měsíčně
Podle grafu Johna Blackbourna, který cituje r/Wordpress, přišlo v srpnu přes HackerOne 773 bezpečnostních hlášení. Zhruba deset let jich bylo 20 až 30 za měsíc.
Týká se: klientské weby na WordPressu, účty s rolí Administrator, aktualizace jádra
Zdroj: příspěvek na r/Wordpress z 2. 10., cituje graf Johna Blackbourna. „Dřív“ je rozpětí 20 až 30 hlášení měsíčně, pruh kreslí horní mez. Samotný graf v okně není.
Hlášení zranitelností WordPressu na HackerOne se podle příspěvku na r/Wordpress zhruba deset let držela na 20 až 30 za měsíc. V červenci jich přišlo 450, v srpnu 773. John Blackbourn graf podle autora zveřejnil i s důvodem: lidé teď na jádro pouštějí Claude a GPT a nechávají je číst kód.
Jak taková chyba vypadá, ukazuje Click2Shell, opravená ve WordPressu 7.1.1. Našel ji pwn.ai s Claude Opus 5 a jedním člověkem ve smyčce. Celý útok je odkaz: přihlášený administrátor ho otevře, JavaScript WordPressu za něj nainstaluje šablonu z oficiálního katalogu, Customizer načte PHP té neaktivní šablony a děravý AJAX handler v ní natáhne, co útočník chce.
Ve vlákně správce pár desítek instalací píše, že normální jsou dva až tři administrátorské účty. Jiný tvrdí, že klienti administrátora nikdy nepotřebovali a vlastnictví webu to nemění. Vlákno je malé, dva komentáře, a čísla z grafu se v okně nedají ověřit jinde.
Ověř, že klientské weby běží na WordPressu 7.1.1 nebo novějším. Spočítej účty s rolí Administrator a klientům, kteří jen upravují obsah, nech roli Editor. Kontrolu počtu administrátorů přidej do pravidelné údržby webů, ne jako jednorázovou akci.