Šobrīd, kamēr tu izlasi šo teikumu, kāds, visai iespējams, pārbauda tavu mājaslapu. Ne konkurents. Ne kāds apmierināts vai neapmierināts klients. Programma — automātisks skeneris, kas nemostas un neguļ, kam vienalga, vai aiz vietnes stāv starptautiska korporācija vai vienas personas amatniecības veikaliņš. Tas nemeklē tevi. Tas meklē atvērtas durvis. Un šā gada jūlijā tam radās jauns, ērts veids, kā tās atrast.
17. jūlijā WordPress izlaida ārkārtas drošības ielāpu. Iemesls — ievainojamība, kas nozarē jau nokristīta par wp2shell. Dažu stundu laikā internetā parādījās gatavi uzbrukuma rīki, un vairāki drošības uzņēmumi apstiprināja, ka to jau izmanto reālos uzbrukumos. 20. jūlijā brīdinājumu izplatīja arī CERT.LV. Ja tavai lapai ir WordPress kodols un tas nav atjaunināts, šis raksts attiecas tieši uz tevi.
Kļūda, kas neprasa tavu kļūdu
Parasti WordPress problēmas nāk no spraudņiem, un pēc katra incidenta pirmais jautājums ir: “Kurš papildinājums bija vainīgs?” Ar wp2shell šis jautājums neder. Ievainojamība slēpjas pašā WordPress kodolā — tā nostrādā pat tīrā, tikko uzstādītā vietnē bez neviena spraudņa.
Uzbrucējam nav vajadzīga parole. Nav vajadzīgs, lai tu uz kaut kā uzklikšķinātu vai atvērtu inficētu pielikumu. Nav vajadzīgs pat konts. Divas atsevišķas kļūdas (CVE-2026-63030 un CVE-2026-60137), savienotas kopā, ļauj svešiniekam no interneta pārņemt vietni: nolasīt, mainīt vai izdzēst visu datubāzi un izpildīt serverī savu kodu. Skartas versijas ir 6.9.0–6.9.4 un 7.0.0–7.0.1; labotās — 6.9.5 un 7.0.2. Simboliski, bet pašu caurumu palīdzēja atrast mākslīgais intelekts. Tas pats rīks, kas paātrina aizsardzību, paātrina arī uzbrukumu.
Tu nekad nebiji mērķis. Tu esi adrese sarakstā
“Kurš gan interesēsies par manu mazo lapu?” Neviens cilvēks par to neinteresējas. Par to interesējas roboti, un tas ir daudz sliktāk.
Vairāk nekā 40% visu pasaules mājaslapu darbojas uz WordPress — praktiski katra otrā vietne, kas vispār izmanto satura pārvaldības sistēmu. Neviens nesēž un neizvēlas, kuru Latvijas veikaliņu šodien pievārēt. Skeneri automātiski apstaigā internetu pa adresei, pārbaudot miljoniem vietņu pēc kārtas; nozares aplēses runā par aptuveni 90 000 uzbrukuma mēģinājumu minūtē pret WordPress vietnēm kopumā. Kad parādās jauna ievainojamība, šie skeneri sāk to pārbaudīt jau tajā pašā dienā.
Cik reāli tas ir tepat? CERT.LV šā gada pirmajā ceturksnī fiksēja rekordu — vairāk nekā 750 000 apdraudētu iekārtu Latvijas kibertelpā, un lielākā daļa nebija izsmalcināti mērķēti uzbrukumi, bet gan tieši ielaistas, neizlabotas nepilnības. Mazums nav aizsardzība. Tas ir tikai vēl viens ieraksts saraksta rindā.
Kas notiek, kad durvis paliek vaļā
Kad skripts iekļūst, tas nerīkojas ar cilvēcīgu žēlumu vai loģiku. Tas izveido sev administratora kontu, augšupielādē ļaunprātīgu spraudni un atstāj serverī slēptu “tīmekļa čaulu” — durtiņas, pa kurām atgriezties vēlāk. No šī brīža tava lapa vairs nav tava. To var pārvērst par azartspēļu reklāmas platformu, izmantot krāpniecisku e-pastu izsūtīšanai, nozagt klientu datus vai vienkārši izdzēst.
Un te ir detaļa, kuru daudzi uzzina par vēlu: ja vietnē jau ir iemesta šī slēptā čaula, tad vēlāka WordPress atjaunināšana to neizdzēš. Tu aizver sākotnējo caurumu, bet paslēptās durvis paliek atvērtas. Tāpēc “es taču atjauninu” nav tas pats, kas “es esmu drošībā”.
Ielāps neatgriež laiku. Kopija atgriež
Atjaunināt ir jādara nekavējoties — bet tas ir tikai puse stāsta. Nākammēnes būs nākamā ievainojamība, un aizmirsts spraudnis atradīs jaunu veidu, kā pievilt. Vienīgais, kas droši pārvērš pilnīgu katastrofu par pāris stundu ķezu, ir tīra, pārbaudīta un nošķirti glabāta mājaslapas rezerves kopija, kas izveidota pirms ielaušanās.
Tam ir svaigs Latvijas apliecinājums. Kad jūnijā izspiedējvīrusu grupējums iekļuva “Latvijas valsts mežu” sistēmās, eksperti norādīja, ka uzbrucējs izmantoja ievainojamību, kas dažviet nebija novērsta teju septiņus gadus — durvis nebija atlauztas, tās vienkārši gadiem stāvēja vaļā. Bet uzņēmumu izglāba nevis prasme atvairīt uzbrukumu, bet gan tas, ka pastāvēja neskarta rezerves kopija, no kuras atjaunot sistēmas. Tieši šī atšķirība nošķīra “katastrofu” no “neērtības”. Un tā ir vienādi spēkā gan simtu miljonu uzņēmumam, gan blogam, kas nemaksā neko.
Viens brīdinājums: kopija, kas glabājas tajā pašā hostinga kontā, kur pati vietne, uzbrukumā var tikt nošifrēta vai izdzēsta reizē ar oriģinālu. Rezerves kopija, ko var iznīcināt tā pati nelaime, kas oriģinālu, nav rezerves kopija. Tai jāatrodas ārpus uzbrucēja sasniedzamības.
Ko izdarīt šodien
Konkrēti un bez atlikšanas: pārbaudi savu WordPress versiju administrācijas panelī un, ja tā ir starp ievainojamajām, atjaunini uz 6.9.5 vai 7.0.2 (vai jaunāku) tūlīt. Ievainojamības atklājēji ir izveidojuši bezmaksas pārbaudes rīku (wp2shell.com), ar ko noskaidrot, vai tava lapa ir riskam pakļauta. Ja atjaunināt uzreiz nav iespējams, CERT.LV iesaka pagaidu risinājumus — bloķēt REST API “batch” galapunktu, uzstādīt tīmekļa ugunsmūri un ierobežot datubāzes lietotāja tiesības.
Bet vissvarīgākais solis ir tas, ko var izdarīt neatkarīgi no jebkuras konkrētas ievainojamības: pārliecinies, ka tev tiešām ir rezerves kopija, ka to var atjaunot, un ka vismaz viena tās versija glabājas nošķirti no vietnes. Kopija, no kuras nekad neesi mēģinājis atgriezties, ir tikai cerība. Un ja lapa jau ir kompromitēta, ar atjaunināšanu nepietiek — jārēķinās ar paslēptām durvīm un vietne jāatjauno no tīras, iepriekš izveidotas kopijas.
Izšķiršanās, ko pieņem iepriekš
Kiberdrošība reti izšķiras uzbrukuma brīdī. Tā izšķiras daudz agrāk — mierīgā dienā, kad neviena katastrofa vēl nav pat aprisēs un kad kāds vienkārši izlemj, ka svarīgākajam ir jābūt vēl vienam eksemplāram drošā vietā. Tieši uz šo principu balstās mūsu darbs: nošķirta, no ikdienas vietnes atdalīta datu glabāšana privātā mākoņserverī un papīra dokumentu digitalizācija un arhivācija.
Ja nezini, kur — un vai vispār — glabājas tavas mājaslapas pēdējā tīrā kopija, tad šis ir īstais brīdis to noskaidrot. Sazinies ar mums, un kopā izveidosim drošu, pārbaudītu rezerves kopiju risinājumu — pirms to tavā vietā izlemj kāds skripts.
