חולשה בתוסף Enable Media Replace לוורדפרס מאפשרת למי שלא הזדהה כלל לשתול באתר אובייקט PHP זדוני, שיתעורר בפעם הבאה שמשתמש בעל הרשאות העלאה יחליף קובץ מדיה. הציון הוא 7.5 מתוך 10, התיקון נמצא בגרסה 4.2.3, ולפי הרשומה זאת חזרה של חולשה שתוקנה כבר פעם אחת בעבר.

מה החולשה?

כדי להעביר אובייקט בין שני מקומות, תוכנה שוטחת אותו לרצף בתים ובונה אותו מחדש בצד השני. השלב הזה של הבנייה מחדש מסוכן יותר משהוא נראה, מפני שהרצף עצמו הוא שקובע איזה סוג אובייקט ייווצר. לכן כל קוד שבונה אובייקטים מנתונים שמורים חייב להחזיק רשימה סגורה של סוגי אובייקטים שמותר ליצור.

לפי הרשומה, התוסף לא החזיק רשימה כזאת. הוא בנה מחדש אובייקטים ממידע נלווה ששמור באתר, בלי להגביל אילו מחלקות מותר ליצור מתוכו. מי שיכול להשפיע על המידע השמור הזה קובע בפועל איזה אובייקט ייווצר, ולכך קוראים PHP Object Injection.

החלק המעניין כאן הוא העיתוי, והוא עובד בשני שלבים. לפי הרשומה, השתילה עצמה אינה דורשת הזדהות: גם מי שאינו מחובר לאתר יכול להכניס את האובייקט. הוא אינו קם לחיים באותו רגע. הוא מחכה. רק כשמשתמש בעל הרשאות העלאה מבצע החלפה שגרתית של קובץ מדיה, אותה פעולה שבגללה התוסף הותקן מלכתחילה, הקוד שבונה את האובייקטים רץ והאובייקט נוצר.

ומה האובייקט הזה משיג. הרשומה מתארת טעינה של קבצי PHP או HTML שכבר נמצאים על השרת, ואומרת שאפשר להסלים מכאן להרצת קוד מרחוק במקרה שיש על השרת קובץ PHP או HTML שלתוקף יש השפעה על תוכנו. כלומר הרצת הקוד אינה אוטומטית, היא תלויה בכך שיש כבר על השרת קובץ מתאים.

זה גם מה שמסביר את הציון. מורכבות התקיפה מסומנת כגבוהה ונדרשת פעולה של מישהו אחר, ולכן 7.5 ולא יותר. הסיווג הוא CWE-502.

הפרט האחרון בתיאור ראוי לתשומת לב בפני עצמו: לפי הרשומה זאת נסיגה של CVE-2023-4643, חולשה שתוקנה בגרסה 4.1.3 וחזרה בגרסה 4.1.4. כלומר התיקון היה שם ואחר כך נעלם.

מי מושפע?

אתרי וורדפרס שמותקן בהם התוסף Enable Media Replace בגרסה שקודמת ל-4.2.3. התוסף נועד למשימה אחת ופשוטה, להחליף קובץ מדיה קיים בחדש בלי לשבור את הקישורים אליו, וזה בדיוק סוג התוסף שמתקינים פעם אחת ושוכחים ממנו.

בישראל וורדפרס מפעילה חלק גדול מהאתרים הקטנים והבינוניים, והתוסף הזה שימושי במיוחד באתרי תוכן ובחנויות, שבהם מחליפים תמונות מוצר ובאנרים באופן שוטף. מי שמתחזק אתר כזה צריך לבדוק את רשימת התוספים שלו.

שימו לב לחלוקת התפקידים כאן, כי היא לא אינטואיטיבית. מי שמפעיל את החולשה בלי לדעת הוא דווקא בעל ההרשאות באתר, זה שמחליף את התמונה. מי ששתל אותה לא היה צריך שום הרשאה.

האם מנוצלת בפועל?

בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שמאגד חולשות שיש עליהן ראיות לניצול בשטח, החולשה הזאת אינה רשומה נכון לעדכון האחרון של העמוד. כלומר לא דווח על ניצול.

הרשומה פורסמה ב-30 באוקטובר 2026, והמקור שהיא מפנה אליו הוא רשומת החולשה ב-WPScan, מסד הנתונים של חולשות בתוספי וורדפרס. הרשומה אינה מדווחת על ניצול, וגם אינה שוללת אותו.

מה עושים?

1. עדכנו את התוסף ל-4.2.3 ומעלה. בלוח הבקרה של וורדפרס: תוספים, ואם מופיע עדכון ל-Enable Media Replace התקינו אותו. זה מספר הגרסה שהרשומה נוקבת בו, ואין צורך לנחש.

2. בדקו איזו גרסה רצה אצלכם לפני שאתם מניחים שאתם מעודכנים. בגלל הנסיגה שהרשומה מתארת, אתר שנמצא על גרסה מענף 4.1 מאוחרת מ-4.1.3 אינו מוגן למרות שהוא מאוחר יותר מהגרסה שבה החולשה תוקנה בפעם הראשונה.

3. אם אינכם משתמשים בתוסף, מחקו אותו ולא רק כבו אותו. תוסף כבוי שנשאר מותקן הוא קוד שיושב על השרת, וכאן חלק מהדרך אל הרצת קוד עובר בקבצים שכבר נמצאים שם.

4. עברו על רשימת המשתמשים בעלי הרשאות העלאה באתר. הם אלה שפעולה שגרתית שלהם מפעילה את השתילה, וכדאי שתדעו מי הם ושההרשאה הזאת ניתנה בכוונה.

5. אם האתר לא עודכן זמן רב, חפשו בתיקיית ההעלאות קבצי PHP או HTML שלא אתם שמתם. לפי הרשומה, נוכחות של קובץ כזה היא התנאי שמשדרג את החולשה מטעינת קובץ להרצת קוד.