WordPress释出安全更新，修复可从外部删除档案的程式码执行漏洞

资安公司Ripstech在7个月前向WordPress资安团队回报，一个允许外部删除档案的程式码执行漏洞，但WordPress却音讯全无，即使在5月中推出的4.9.6版本，也不见修补该漏洞，Ripstech于是在6月26日怒公开该漏洞细节，WordPress只好在7月5日紧急释出了4.9.7安全维护版本，并且强烈建议用户，凡使用3.7到4.9.6版本的WordPress都应马上更新。

骇客要使用这个任意程式码执行漏洞，需要先取得编辑以及删除媒体的权限，Ripstech提到，只要能获得操作权限提升就能使用该漏洞，所以骇客可以接手像是作者这类低权限的账户，或是透过其他漏洞以及错误设定来获得进一步的档案编辑权限。这个漏洞的严重性在于，骇客能够移除任何WordPress的安装档案，包括允许让骇客抹除整个WordPress安装，而当网站没有适当的备份，将可能造成不可恢复的灾难性后果。

骇客能够利用任意删除档案的能力，规避一些安全性措施，进一步在网页服务器上执行任意程式码。Ripstech列出可被删除的档案。第一种是.htaccess档，这类档案被删除后，通常不会有任何安全性的后果，但是在某些情况下，.htaccess可能内含一些诸如资料夹存取等安全性相关的限制，.htaccess被移除也就停用了这些安全性限制。

另外，网站通常会摆上一个空的index.php档案，以防网页服务器会在使用者存取该页面时，列出网站资料夹，而移除index.php档案则会暴露网站的结构。不过，最严重的还是wp-config.php被删除，除了wp-config.php内含数据库凭据外，缺少这个档案，WordPress会以为程式尚未安装，骇客只要删除该档案后，便可以替管理员账户更换安装程序的凭证，在WordPress重新启动安装程序后，便能在服务器上执行任意程式码。

Ripstech认为，目前最热门的CMS非WordPress莫属，依照网页科技调查网站W3Techs的统计，约有三分之一的网站使用WordPress，这也表示这些用户很容易成为骇客的目标，但这个任意程式码执行漏洞在第一次提报给WordPress安全团队，历经7个多月仍然没有任何具体的修补计划，于是决定将其公开。

而在Ripstech发现删除档案程式码执行漏洞后，另一家资安公司Wordfence也发现了一个类似的漏洞，该漏洞发生在媒体上传器的附件上传AJAX动作，骇客透过WordPress处理档案的漏洞，也能达到删除wp-config.php档案的目的，使WordPress重新启动安装程序，提供骇客执行任意程式码的机会。

就在Ripstech公开漏洞细节后，WordPress在7月5日紧急释出了安全维护更新4.9.7版本，除了修补上述两个严重漏洞外，也一并修复了另外10几项错误，官方表示，这版本是一个安全维护更新，只要网站使用3.7以上的所有版本，都强烈立刻更新到WordPress 4.9.7。