סריקות אחר נקודת הקצה לעיבוד אצווה ב־REST API של WordPress גדלו בתשתית שלנו פי שלושה ויותר

⁦291 Intercept⁩ הוא הדוח השבועי שלנו על מה שסורקים אוטומטיים חיפשו בתשתית שלנו, כדי שתוכלו לבדוק את המערכות שלכם מול אותם דברים. כל גיליון עוסק בשבוע שהסתיים לפחות שבעה ימים קודם לכן.

השינוי הבולט ביותר בתשתית שלנו בשבוע של 26 באוקטובר היה זינוק בבקשות לכתובת אחת של WordPress: /wp-json/batch/v1. כ־40 מקורות ביקשו אותה, פי 3.3 מהממוצע השבועי שלה בשלושת השבועות הקודמים. בנקודת הקצה הזו מתחילה wp2shell, שרשרת של שתי פרצות בליבת WordPress שמאפשרת לתוקף בלי התחברות להריץ קוד באתר.

זה קרה בשבוע עמוס יותר באופן כללי: כ־620 מקורות סרקו את התשתית שלנו החשופה לאינטרנט, 10% יותר מהממוצע של שלושת השבועות הקודמים. WordPress נותרה המטרה העיקרית: 66% מהמקורות חיפשו דפי התחברות של WordPress, את XML-RPC או נתיבי תוספים, ומספרם עלה ב־20%. הסורקים גם ביקשו לעתים קרובות יותר חלקים של אפליקציות שאמורים להישאר פרטיים.

מהי wp2shell

/wp-json/ הוא השורש של ה־REST API של WordPress, ו־/wp-json/batch/v1 הוא מעבד האצווה שלו, שמטפל בחבילה של בקשות API בבת אחת. לפי Rapid7, ב־wp2shell משולבות שתי פרצות. CVE-2026-63030 היא פגם לוגי במעבד האצווה הזה, ו־CVE-2026-60137 היא הזרקת SQL בנקודת הקצה של הפוסטים. בשילוב, הן מאפשרות למי שאין לו חשבון להריץ קוד בגרסאות 6.9.0 עד 6.9.4 ו־7.0.0 עד 7.0.1 של WordPress.

הפרצה נחשפה ב־17 ביולי 2026, ולפי Rapid7, ארגון CISA הוסיף אותה לקטלוג Known Exploited Vulnerabilities שלו ב־21 ביולי. הגרסאות המתוקנות הן 6.9.5, 7.0.2 ו־⁦7.1 Beta 2⁩.

למה לסרוק אחר פרצה שכבר יש לה תיקון? הסורקים לא צריכים שכל אתר יהיה פגיע, מספיק שחלק מהאתרים יהיו. בקשה כמעט לא עולה להם דבר, וכל אתר שעדיין מריץ גרסה מושפעת שווה ביקור חוזר.

הצד המוכר של סריקות WordPress

ערכת כלים מתואמת של כ־20 מקורות בכמה מדינות הריצה את אותה רשימה של כעשרה נתיבים. היא ביקשה את אותו קובץ תחת שמות תיקיות רבים, כמו /wp/wp-includes/wlwmanifest.xml, /shop/wp-includes/wlwmanifest.xml ו־/wordpress/wp-includes/wlwmanifest.xml, וכן את /xmlrpc.php.

wlwmanifest.xml הוא קובץ המניפסט של Windows Live Writer שנמצא בהתקנות ברירת מחדל של WordPress, ובקשה שלו תחת תיקיות נפוצות היא דרך לאתר אתרי WordPress לפני ניסיון לנצל פרצות בתוספים או בערכות עיצוב. XML-RPC הוא השלב הבא: חוקרים גילו ב־2015 שהמתודה system.multicall שלו מאפשרת לתוקף לנסות מאות סיסמאות בבקשה אחת.

שאריות ורכיבים פנימיים

בהשוואה לשלושת השבועות הקודמים, מספר המקורות שחיפשו קובצי גיבוי ו־dump עלה ב־73%, מספר המקורות שחיפשו רכיבים פנימיים של אפליקציות כמו actuator של Spring Boot עלה ב־63%, ומספר המקורות שביקשו דפי אבחון כמו /phpinfo.php ו־/info.php עלה ב־52%. מכיוון שגם המספר הכולל של המקורות גדל, החלקים היחסיים שלהם השתנו פחות: דפי אבחון עלו מ־15% מכלל המקורות בממוצע ל־21%. התרשים שלהלן מציג שש מהקטגוריות של השבוע, כל אחת עם חלקה מהמקורות השבוע לעומת הממוצע שלה בשלושת השבועות הקודמים.

/actuator/env משך כ־40 מקורות, פי 2.4 מהממוצע הקודם שלו. ב־Spring Boot, נקודת הקצה הזו מציגה את מאפייני התצורה של האפליקציה. התיעוד של Spring קובע שכברירת מחדל רק health נגישה דרך HTTP ושערכי env מוסתרים כברירת מחדל, אבל כשמפתחים פותחים אותה בלי להגביל את הגישה, היא עלולה לחשוף פרטי התחברות, מפתחות API והגדרות פנימיות. מספר המקורות שביקשו את /wp-config.php.bak, גיבוי נשכח של קובץ התצורה של WordPress, הוכפל לכ־40.

ערכת כלים שנייה של כ־20 מקורות שילבה את תחומי העניין האלה בסריקה אחת: /.env, /.git/config, /info.php, /config.json, /server-status ו־/debug/default/view. הנתיב האחרון שייך לדיבאגר של ⁦Yii 2⁩, שמציג נתוני סשן, משתני סביבה ושאילתות למסד הנתונים. המדריך של Yii קובע שבדרך כלל הוא פועל רק מ־localhost, אבל CVE-2026-103475, שנחשפה ב־30 בספטמבר, נוגעת ל־yii2-starter-kit עד גרסה 4.2.0, שתצורת ברירת המחדל שלה פותחת אותו לכל כתובות ה־IP.

המשך לשבוע שעבר

בגיליון הקודם ציינו שיותר סורקים מחפשים קובצי .env בתיקיות משנה. המגמה נמשכה. /v2/.env ו־/old/.env משכו כל אחד כ־60 מקורות, בערך פי שניים מהממוצע הקודם שלהם, /production/.env משך 50 ו־/storage/.env משך 40. בסך הכול, 200 מקורות חיפשו קובצי סודות ותצורה, עלייה של 16%, בערך בקצב העלייה בכלל המקורות, כך שחלקם נשאר על 33%. לשם השוואה, חוקרים דיווחו בפברואר על 12,088,677 כתובות IP שמגישות קבצים בסגנון .env הנגישים לציבור.

סריקות Git, שפתחנו בהן בשבוע שעבר, ירדו בחלקן היחסי אבל נשארו מעל הרמה הקודמת שלהן. בסך הכול, 170 מקורות חיפשו מאגרי קוד מקור, 20% יותר מהממוצע של שלושת השבועות, אף שחלקם מכלל המקורות ירד מ־37% ל־29%.

מי שאל

יותר ממחצית המקורות (55%) הגיעו מרשתות ענן ואחסון, כש־DigitalOcean ו־Google Cloud אחראיות ל־20% כל אחת, ו־85% מכלל המקורות הופיעו ביום אחד בלבד. רובם גם ניסו להיראות כמו בני אדם: 82% שלחו מחרוזות שמתחזות לדפדפנים רגילים, אבל 85% התנהגו כמו אוטומציה, כך שההסוואה דקה למדי.

מה דעך

הבקשות ל־/wp-content/plugins/hellopress/wp_filemanager.php, שעמדו בממוצע על כ־20 מקורות בשבוע, ירדו כמעט לאפס, ירידה של 79%. מוקדם לומר אם הסורקים עברו הלאה. קובצי מפתחות ענן כמו /service-account.json נשארו יציבים פחות או יותר, עם כ־70 מקורות.

מה לעשות

• בדקו את גרסת WordPress שלכם. אם היא בטווח 6.9.0 עד 6.9.4 או 7.0.0 עד 7.0.1, עדכנו עכשיו ל־6.9.5 או ל־7.0.2.
• הרחיקו קובצי .env לגמרי מהתיקייה הציבורית, כולל גרסאות ישנות ותיקיות משנה לפי גרסה. המקום הבטוח הוא רמה אחת מעל שורש האתר.
• מחקו גיבויים וקובצי dump כמו /database.sql או /wp-config.php.bak מכל מקום שדפדפן יכול להגיע אליו.
• נעלו את הרכיבים הפנימיים. הגבילו את נקודות הקצה של actuator ב־Spring Boot והשאירו את הסתרת ערכי env פעילה, הסירו דפי בדיקה של phpinfo, והגבילו את הדיבאגר של Yii ל־localhost.
• כבו את XML-RPC אם שום דבר באתר שלכם לא זקוק לו.

על התצפיות האלה

את הדוח הזה מפיקה ⁦291 Heat Seeker One⁩, מערכת ניטור האבטחה של ⁦⁦291 Group⁩⁩, שפועלת על ⁦291 Crossband⁩, פלטפורמת תפעול האבטחה הקניינית שלנו. הוא מכסה רק תעבורה לתשתית החשופה לאינטרנט של ⁦⁦291 Group⁩⁩ עצמה.

הנתונים מעוגלים, חלקים ושינויים נמדדים לפי מספר המקורות הנפרדים ולא לפי מספר הבקשות, ונכללים רק דפוסים שנצפו מ־20 מקורות נפרדים לפחות. המדינות הן המקום שבו נמצאים השרתים של המקורות, לא בהכרח המקום שבו נמצאים מי שמפעילים אותם. סוגי הרשתות נקבעים לפי הגורם שמפעיל כל רשת; רק ספקים גדולים ומוכרים מצוינים בשמם.