WordPress 7.0.3 har släppts med rättningar av tolv säkerhetsproblem. Flera av sårbarheterna kan utnyttjas för att köra skadlig kod, komma åt skyddad information eller skaffa utökade rättigheter. Eftersom detta är en viktig säkerhetsuppdatering rekommenderas alla webbplatsägare att installera den omgående.
WordPress 7.0.3 har släppts med rättningar av tolv säkerhetsproblem. Flera av sårbarheterna kan användas för att köra skadlig kod, komma åt skyddad information eller skaffa utökade rättigheter. Den allvarligaste bristen finns på inloggningssidan och kan i vissa situationer leda till att PHP-kod körs på webbservern.
En säkerhetsuppdatering utan nya finesser
WordPress 7.0.3 är framför allt en säkerhetsutgåva. Det innebär att fokus inte ligger på nya funktioner eller ett förändrat utseende. I stället har utvecklarna förstärkt de delar av systemet där en angripare skulle kunna ta sig förbi WordPress skyddsmekanismer.
En säkerhetsuppdatering kan liknas vid att en låssmed byter ut flera bristfälliga lås i en byggnad. Huset ser likadant ut efter arbetet, men det har blivit betydligt svårare för obehöriga att ta sig in.
WordPress rekommenderar därför att alla webbplatser uppdateras så snart som möjligt.
Allvarlig brist på inloggningssidan
Det mest uppmärksammade säkerhetsproblemet är en så kallad reflekterad cross-site scripting-sårbarhet, förkortad XSS, på WordPress inloggningssida.
En reflekterad XSS-attack innebär vanligtvis att skadlig kod placeras i en särskilt utformad webbadress. Om någon öppnar länken kan koden köras i personens webbläsare som om den kom från den riktiga webbplatsen.
Det som gör denna sårbarhet särskilt allvarlig är att inget WordPress-konto krävs för att inleda attacken. Bristen beskrivs som ”pre-auth”, vilket betyder att den kan utnyttjas innan angriparen har loggat in.
I vissa situationer skulle sårbarheten kunna ingå i en attackkedja som slutligen leder till att PHP-kod körs på webbservern. Det kan ge angriparen betydligt större kontroll än en vanlig XSS-attack.
Sårbarheten har registrerats som CVE-2026-64638 och GHSA-52p2-r8wf-jcrf.
Flera lagrade XSS-sårbarheter
Uppdateringen rättar även flera lagrade XSS-sårbarheter. Vid en sådan attack sparas den skadliga koden i WordPress databas, exempelvis som en del av ett inlägg. Koden kan sedan aktiveras när en administratör eller besökare öppnar den berörda sidan.
Flera av bristerna kunde utnyttjas av användare med rollen medarbetare eller högre. Det innebär att angriparen redan måste ha ett konto med vissa rättigheter. Risken är ändå betydande på webbplatser där många personer kan skriva eller redigera innehåll.
Sårbarheter har bland annat rättats i:
- inställningarna för emojier,
- blocket för inläggsinnehåll,
- funktionen för snabbredigering på webbplatser med många användare,
- blocket som visar publiceringsdatum.
Dessutom har ett problem åtgärdats där en användare med rollen författare eller högre kunde kringgå WordPress filter för säker CSS och lägga in otillåten stilmallskod.
CSS används normalt för att bestämma hur en webbplats ser ut. Skadlig CSS kan exempelvis användas för att dölja knappar, lägga innehåll ovanpå andra element eller vilseleda en användare att klicka på fel plats.
Multisite och registrering av nya webbplatser
WordPress 7.0.3 rättar också ett problem med utökade rättigheter i Multisite-installationer.
Multisite gör det möjligt att driva flera webbplatser från en gemensam WordPress-installation. På nätverk där användarregistrering var aktiverad kunde en användare under vissa omständigheter skapa en ny webbplats trots att personen egentligen inte skulle ha den behörigheten.
Detta är framför allt relevant för större organisationer, webbhotell, föreningar och utbildningsverksamheter som driver många WordPress-webbplatser i samma installation.
Skyddade kommentarer kunde avslöjas
En annan sårbarhet fanns i blocket ”Senaste kommentarer”. Det kunde visa kommentarer från lösenordsskyddade inlägg och därmed avslöja information som inte var avsedd för alla besökare.
Ett lösenordsskyddat inlägg ska normalt fungera som ett avgränsat rum där endast personer med rätt lösenord kan läsa innehållet. Om kommentarer från inlägget ändå visas på en offentlig del av webbplatsen uppstår en informationsläcka.
Uppdateringen rättar även två närliggande problem:
- möjligheten att kartlägga adresserna till inlägg,
- exponering av interna anteckningar i kommentarsflöden.
Sådan information behöver inte vara farlig i sig, men kan hjälpa en angripare att kartlägga webbplatsen och förbereda en mer riktad attack.
WordPress kunde kontakta interna nätverksadresser
En server-side request forgery-sårbarhet, förkortad SSRF, har också åtgärdats i WordPress kontroll av webbadresser.
Vid en SSRF-attack luras webbservern att skicka en förfrågan till en adress som angriparen själv kanske inte kan nå. Servern används då som en mellanhand.
I detta fall kunde WordPress kontroll av webbadresser kringgås så att förfrågningar skickades till så kallade link-local-adresser. Sådana adresser används bland annat för intern kommunikation i lokala nätverk och molnmiljöer.
Det kan jämföras med att någon utanför ett företag lyckas övertala en anställd på insidan att hämta information från ett internt rum. Angriparen kommer inte själv in i rummet, men försöker använda någon som redan befinner sig där.
Även bekräftelse av e-post kunde kringgås
Utgåvan rättar dessutom en brist i processen för att bekräfta e-postadresser. En angripare kunde under vissa förutsättningar kringgå den kontroll som ska säkerställa att en användare verkligen har tillgång till den angivna adressen.
E-postbekräftelse används ofta som ett extra kontrollsteg vid registrering eller ändring av kontouppgifter. Om kontrollen kan hoppas över försvagas skyddet mot falska eller kapade konton.
Äldre versioner får vissa rättningar
WordPress säkerhetsteam arbetar med att föra tillbaka nödvändiga rättningar till äldre versioner, för närvarande ända tillbaka till WordPress 4.7.
Det betyder dock inte att gamla WordPress-versioner har fullt stöd. WordPress betonar att endast den senaste huvudversionen är aktivt underhållen. En äldre installation kan därför fortfarande sakna andra felrättningar, förbättringar och kompatibilitetsuppdateringar.
Säkerhetsrättningarna till äldre grenar publiceras efter hand som de blir klara. Den som använder en gammal version bör därför inte utgå från att webbplatsen redan är skyddad.
Även WordPress 7.1 RC2 innehåller de säkerhetsrättningar som är tillämpliga. RC står för ”Release Candidate” och betyder att versionen är avsedd för testning inför den slutliga utgåvan. Den bör normalt inte användas på en skarp webbplats.
Så uppdaterar du WordPress
Den enklaste metoden är att logga in i WordPress administrationspanel och välja:
Panel → Uppdateringar → Uppdatera nu
Det går också att hämta WordPress 7.0.3 från WordPress.org och genomföra uppdateringen manuellt. Skriv wp core update i bash, om du har wp cli.
Webbplatser som tillåter automatiska bakgrundsuppdateringar ska normalt få säkerhetsuppdateringen automatiskt. Det är ändå klokt att logga in och kontrollera vilken version som faktiskt är installerad.
Innan en manuell uppdatering bör man säkerhetskopiera både databasen och webbplatsens filer. Efter uppdateringen bör man kontrollera att webbplatsen, administrationspanelen, kontaktformulär och andra viktiga funktioner fortfarande fungerar.
Mer information finns på WordPress dokumentationssida för version 7.0.3.
Vänta inte med säkerhetsuppdateringen
Alla säkerhetshål är inte lika lätta att utnyttja. Vissa kräver ett befintligt användarkonto, särskilda inställningar eller en komplicerad kedja av flera brister. Det är ändå olämpligt att vänta.
När en säkerhetsuppdatering har publicerats kan angripare jämföra den nya och den gamla källkoden för att se exakt vad som har förändrats. På så sätt kan de ofta förstå hur sårbarheterna fungerar och börja söka efter webbplatser som ännu inte har uppdaterats.
WordPress 7.0.3 bör därför installeras omgående – särskilt eftersom en av sårbarheterna kan angripas utan föregående inloggning och i värsta fall bidra till att kod körs på servern.
> FAKTA: WORDPRESS 7.0.3
- Typ: Säkerhetsuppdatering
- Antal rättade säkerhetsproblem: 12
- Allvarlig brist: XSS på inloggningssidan
- Övriga problem: SSRF, informationsläckor och utökade rättigheter
- Rekommendation: Uppdatera WordPress omgående
- Äldre versioner: Vissa rättningar förs tillbaka till version 4.7
> Uppdatera via:
Panel → Uppdateringar → Uppdatera nu
