तत्काल सुरक्षा चेतावनी: आइकन फैक्ट्री प्लगइन (≤ 1.6.12) — बिना प्रमाणीकरण के मनमाना फ़ाइल हटाना (CVE-2025-7778)

TL;DR
वर्डप्रेस आइकन फैक्ट्री प्लगइन (संस्करण ≤ 1.6.12) में एक गंभीर सुरक्षा दोष (CVE-2025-7778) बिना प्रमाणीकरण वाले हमलावरों को बिना अनुमति जांच के फ़ाइल हटाने की प्रक्रिया (delete_files()) को सक्रिय करने की अनुमति देता है। CVSS उच्च है (8.6)। परिणामों में साइट का टूटना, डेटा हानि और हमलावरों द्वारा आगे की कार्रवाई शामिल हैं। यदि आप इस प्लगइन का उपयोग करते हैं, तो तुरंत कार्रवाई करें: प्लगइन को निष्क्रिय या हटा दें, यदि आवश्यक हो तो सत्यापित स्वच्छ बैकअप से पुनर्स्थापित करें, और जब तक विक्रेता का समाधान उपलब्ध न हो, अपने WAF के माध्यम से आभासी पैचिंग लागू करें।.

यह क्यों महत्वपूर्ण है (संक्षिप्त जोखिम सारांश)

• सुरक्षा दोष का प्रकार: मनमाना फ़ाइल हटाना — फ़ाइल हटाने के कार्य पर अनुमति जांच की कमी।.
• आवश्यक विशेषाधिकार: कोई नहीं — बिना प्रमाणीकरण वाले हमलावर हटाने को सक्रिय कर सकते हैं।.
• प्रभाव: हमलावर उन फ़ाइलों को हटा सकते हैं जिन तक वेब सर्वर उपयोगकर्ता पहुंच सकता है — प्लगइन/थीम फ़ाइलें, अपलोड, कैश, और यदि अनुमतियां अनुमति देती हैं तो संभवतः कोर फ़ाइलें।.
• तात्कालिकता: उच्च — बिना प्रमाणीकरण वाले दोष तेजी से स्कैन किए जाते हैं और सार्वजनिक प्रमाण-कोड के प्रसार के बाद हथियारबंद किए जाते हैं।.

तकनीकी सारांश (सुरक्षा दोष क्या है और यह कैसे होता है)

प्लगइन एक delete_files() प्रक्रिया को उचित प्रमाणीकरण के बिना कॉल करने के लिए उजागर करता है। सुरक्षित डिज़ाइन अपेक्षा करता है कि कॉलर की प्रमाणीकरण और प्रासंगिक क्षमता (उदाहरण के लिए, current_user_can() जांच को nonce सत्यापन के साथ मिलाकर) की पुष्टि की जाए। इस मामले में, delete_files() HTTP-प्रदत्त इनपुट को संसाधित करता है और ऐसी जांचों को लागू किए बिना फ़ाइल हटाने का कार्य करता है।.

परिणाम:

• एक हमलावर HTTP अनुरोध तैयार कर सकता है जो वेब प्रक्रिया द्वारा सुलभ फ़ाइलों को हटा देता है।.
• हटाई गई फ़ाइलें साइट की कार्यक्षमता को तोड़ सकती हैं, मीडिया को हटा सकती हैं, या आगे के समझौते को छिपाने के लिए साइट को बदल सकती हैं।.
• होस्टिंग और अनुमतियों के आधार पर, विस्फोटक क्षेत्र साझा होस्टिंग पर अन्य साइटों तक बढ़ सकता है।.

नोट: CVE पहचानकर्ता: CVE-2025-7778।.

शोषण परिदृश्य और हमलावर के लक्ष्य

इस सुरक्षा दोष का उपयोग करते समय सामान्य हमलावर के उद्देश्य:

1. तत्काल सेवा का इनकार — साइट को विफल करने के लिए कोर/प्लगइन/थीम फ़ाइलें हटाना।.
2. निशान नष्ट करना — फोरेंसिक जांच को जटिल बनाने के लिए लॉग या बैकअप हटाना।.
3. आगे के हमलों के लिए तैयारी करना — वेब शेल या बैकडोर के साथ प्रतिस्थापन सक्षम करने के लिए विशिष्ट फ़ाइलें हटाना (यदि फ़ाइल अपलोड बाद में संभव हो)।.
4. जबरन वसूली — भुगतान न करने पर स्थायी डेटा हटाने की धमकी देना।.
5. लक्षित बर्बरता — सामग्री या कॉन्फ़िगरेशन को हटाकर एक संगठन को बाधित करना।.

यह जल्दी कैसे जांचें कि आपकी साइट प्रभावित है

1. इन्वेंटरी प्लगइन्स: wp-admin → Plugins → Installed Plugins में “Icons Factory” की तलाश करें और संस्करण की जांच करें — संवेदनशील संस्करण ≤ 1.6.12 हैं।.
2. गायब या हाल ही में हटाए गए फ़ाइलों की तलाश करें: प्लगइन निर्देशिका की तुलना एक विश्वसनीय स्रोत से ताजा कॉपी से करें; संदिग्ध समय मुहरों या अनुपस्थित फ़ाइलों की जांच करें।.
3. वेब सर्वर लॉग: admin-ajax.php या प्लगइन-विशिष्ट एंडपॉइंट्स के लिए संदिग्ध POST अनुरोधों के लिए एक्सेस और त्रुटि लॉग खोजें। delete, remove, file, path या direct file paths जैसे पैरामीटर की तलाश करें।.
4. फ़ाइल प्रणाली की जांच: wp-content/uploads, प्लगइन और थीम निर्देशिकाओं में हटाई गई या परिवर्तित फ़ाइलों की जांच करें।.
5. असामान्य उपयोगकर्ता परिवर्तनों की जांच करें: हालांकि हटाने से उपयोगकर्ता नहीं बनते हैं, बाद की गतिविधि प्रशासनिक खातों को जोड़ सकती है — उपयोगकर्ताओं और भूमिकाओं की पुष्टि करें।.

यदि आप हटाने की पुष्टि करते हैं और उन्हें समझा नहीं सकते, तो साइट को संभावित रूप से समझौता किया गया मानें और नीचे दिए गए घटना प्रतिक्रिया चरणों का पालन करें।.

तात्कालिक सुधारात्मक कदम (यह अभी करें)

1. स्वचालित स्कैनिंग और शोषण को कम करने के लिए साइट को रखरखाव मोड में डालें।.
2. संवेदनशील प्लगइन को निष्क्रिय करें:
   • wp-admin → Plugins से Icons Factory को निष्क्रिय करें।.
   • यदि wp-admin अप्राप्य है, तो SFTP/SSH के माध्यम से प्लगइन निर्देशिका का नाम बदलें (जैसे, wp-content/plugins/icons-factory → icons-factory.disabled)।.
3. ज्ञात-भले बैकअप से गायब फ़ाइलों को पुनर्स्थापित करें। यदि आप बैकअप की अखंडता पर संदेह करते हैं, तो वर्तमान साक्ष्य को सुरक्षित रखें और पेशेवर फोरेंसिक सहायता प्राप्त करें।.
4. क्रेडेंशियल्स को घुमाएँ: WordPress प्रशासन पासवर्ड, डेटाबेस क्रेडेंशियल्स, और किसी भी API कुंजी को रीसेट करें जो प्लगइन्स या थीम का उपयोग करते हैं।.
5. सब कुछ अपडेट करें: बैकअप को साफ़ करने के बाद WordPress कोर, थीम और अन्य प्लगइन्स को अपडेट करें। जब तक एक सत्यापित विक्रेता पैच उपलब्ध न हो, तब तक प्लगइन को फिर से सक्षम न करें।.
6. यदि अभी तक कोई विक्रेता पैच उपलब्ध नहीं है: WAF आभासी पैचिंग लागू करें (नीचे WAF अनुभाग देखें) और/या प्लगइन को स्थायी रूप से हटा दें और यदि आवश्यक हो तो कार्यक्षमता को माइग्रेट करें।.
7. मैलवेयर और स्थिरता के लिए स्कैन करें: वेब शेल, अप्रत्याशित PHP फ़ाइलें, क्रोनजॉब्स या हमलावरों द्वारा जोड़े गए अनुसूचित हुक की तलाश करें।.
8. अपने होस्ट से सर्वर-स्तरीय लॉग और संभावित स्नैपशॉट पुनर्स्थापनों के लिए संपर्क करें।.
9. फ़ाइल सिस्टम अनुमतियों की समीक्षा करें और उन्हें कड़ा करें ताकि वेब उपयोगकर्ता अनावश्यक रूप से कोर फ़ाइलें न हटा सके।.

यदि आप प्रतिस्थापन फ़ाइलों, डेटा निकासी, या गहरे समझौते के अन्य संकेतों की पुष्टि करते हैं, तो एक पेशेवर घटना प्रतिक्रिया टीम को बढ़ाएं।.

पहचान: लॉग और फ़ाइल सिस्टम में क्या देखना है

• एक्सेस लॉग: admin-ajax.php या प्लगइन एंडपॉइंट्स पर फ़ाइल पथ-जैसे पैरामीटर वाले बार-बार POST अनुरोध; असामान्य उपयोगकर्ता एजेंट या खाली संदर्भ।.
• त्रुटि लॉग: प्लगइन या कोर फ़ाइलों का संदर्भ देते हुए गायब शामिल या require_once विफलताओं के बारे में PHP चेतावनियाँ/त्रुटियाँ।.
• फ़ाइल सिस्टम: प्लगइन/थीम फ़ोल्डरों में गायब PHP फ़ाइलें, wp-content/uploads के तहत हटा दी गई या खाली फ़ाइलें, अप्रत्याशित संशोधन समय।.
• डेटाबेस: विकल्पों में अप्रत्याशित परिवर्तन या नए व्यवस्थापक उपयोगकर्ता।.
• बैकअप: बैकअप में मौजूद फ़ाइलें लेकिन उत्पादन में अनुपस्थित।.

समझौते के संकेत (IOCs)

• फ़ाइल पथों का संदर्भ देने वाले पैरामीटर के साथ अनुरोध (../ अनुक्रम या पूर्ण पथ)।.
• admin-ajax.php या /wp-content/plugins/icons-factory/ के तहत एंडपॉइंट्स पर POST स्पाइक्स।.
• संदिग्ध अनुरोधों के तुरंत बाद PHP लॉग में 500/503 त्रुटियाँ और गायब शामिल त्रुटियाँ।.
• बैकअप में मौजूद फ़ाइलें लेकिन उत्पादन प्रणालियों पर गायब।.

वर्चुअल पैचिंग और WAF सुरक्षा (अनुशंसित नियम और तर्क)

आधिकारिक विक्रेता पैच की प्रतीक्षा करते समय, एक WAF हमले के प्रयासों को कम कर सकता है। नीचे वैचारिक रक्षा नियम और एक ModSecurity-शैली का उदाहरण है जिसे आप अपने WAF के लिए अनुकूलित कर सकते हैं।.

WAF रणनीति (वैचारिक):

• प्लगइन में फ़ाइल हटाने की प्रक्रियाओं को कॉल करने का प्रयास करने वाले अप्रमाणित अनुरोधों को अवरुद्ध करें।.
• जहां संभव हो, प्रशासनिक पक्ष के POST के लिए WordPress नॉनसेस की उपस्थिति/मान्यता की आवश्यकता करें।.
• फ़ाइल संचालन का प्रयास करने वाले admin-ajax कॉल को अवरुद्ध करें जब तक कि वे उचित क्षमताओं के साथ प्रमाणित सत्रों से उत्पन्न न हों।.
• संदिग्ध POST अनुरोधों की दर-सीमा निर्धारित करें और दोहराने वाले अपराधियों को अवरुद्ध करें।.

छद्म-नियम तर्क:

यदि HTTP विधि POST है admin-ajax.php या प्लगइन एंडपॉइंट के लिए और.

उदाहरण ModSecurity-शैली नियम (स्वच्छ करें और अपने वातावरण के अनुसार अनुकूलित करें):

SecRule REQUEST_METHOD "POST" "chain,phase:2,deny,log,id:100001,msg:'संभावित Icons Factory delete_files शोषण को ब्लॉक करें - अप्रमाणित अनुरोध'"

नोट्स: पैरामीटर नाम भिन्न हो सकते हैं। झूठे सकारात्मक को कम करने के लिए लॉगिंग मोड से शुरू करें, फिर पुष्टि किए गए दुर्भावनापूर्ण पैटर्न के लिए ब्लॉकिंग पर जाएं।.

सुरक्षित नियम उदाहरण और व्यावहारिक सुझाव

1. फ़ाइल-ऑपरेशन एंडपॉइंट के लिए प्रमाणीकरण की आवश्यकता: केवल WP प्रमाणीकरण कुकीज़ के साथ अनुरोधों को फ़ाइल संचालन करने वाले एंडपॉइंट तक पहुँचने की अनुमति दें।.
2. नॉनस प्रवर्तन: POST को ब्लॉक करें जिनमें अपेक्षित नॉनस पैरामीटर (जैसे, _wpnonce) की कमी हो या जिनमें अवैध नॉनस हों।.
3. फ़ाइल पथ पैटर्न को प्रतिबंधित करें: ../ अनुक्रम, पूर्ण पथ, या महत्वपूर्ण फ़ाइलों (wp-config.php, .htaccess) के संदर्भ वाले अनुरोधों को ब्लॉक करें।.
4. Regex-आधारित पेलोड ब्लॉकिंग: अप्रमाणित अनुरोधों के लिए फ़ाइल पथ पैटर्न जैसे /wp-content/uploads/.*|(\.\./)+|[A-Za-z]:\\ का पता लगाएं और ब्लॉक करें।.

पहले स्टेजिंग में WAF नियमों का परीक्षण करें और झूठे सकारात्मक को कम करने के लिए लॉग की निगरानी करें।.

इस और समान कमजोरियों के प्रभाव को कम करने के लिए कठिनाई सिफारिशें

• न्यूनतम विशेषाधिकार का सिद्धांत: फ़ाइल स्वामित्व और अनुमतियों को सेट करें ताकि वेब प्रक्रिया को जहां संभव हो, कोर फ़ाइलों को हटाने से रोका जा सके।.
• प्लगइन और थीम संपादकों को निष्क्रिय करें: wp-config.php में define(‘DISALLOW_FILE_EDIT’, true); जोड़ें।.
• स्वच्छ स्थिति में वापस लौटने के लिए पर्याप्त रखरखाव के साथ बार-बार, ऑफसाइट बैकअप बनाए रखें।.
• प्रशासनिक खातों के लिए मजबूत प्रशासनिक नियंत्रण और बहु-कारक प्रमाणीकरण लागू करें।.
• प्लगइन स्रोतों को सीमित करें: केवल प्रतिष्ठित स्रोतों से स्थापित करें और स्थापित प्लगइनों और उनके संस्करणों का इन्वेंटरी बनाए रखें।.
• FIM (फ़ाइल अखंडता निगरानी) का उपयोग करके फ़ाइल अखंडता की निगरानी करें और हटाने या अप्रत्याशित परिवर्तनों पर अलर्ट ट्रिगर करें।.
• स्टेजिंग और उत्पादन में आवधिक सुरक्षा ऑडिट और स्कैनिंग।.
• PHP और सर्वर सेटिंग्स को मजबूत करें: संभावित खतरनाक कार्यों को सीमित करें और जहाँ उपयुक्त हो, open_basedir सेट करें।.

घटना प्रतिक्रिया प्लेबुक (जब समझौता संदिग्ध हो तो कदम-दर-कदम)

1. अलग करें: साइट को रखरखाव मोड में रखें और संदिग्ध आईपी को ब्लॉक करें।.
2. साक्ष्य सुरक्षित करें: फ़ाइल सिस्टम और डेटाबेस का स्नैपशॉट लें; लॉग को ओवरराइट न करें।.
3. ट्रायेज़: पहचानें कि कौन से फ़ाइलें हटाई गईं, लॉग के साथ सहसंबंधित करें, प्रारंभिक प्रवेश बिंदु निर्धारित करें।.
4. पुनर्प्राप्त करें: हमले से पहले लिए गए एक साफ बैकअप से पुनर्स्थापित करें; पुनर्स्थापना से पहले बैकअप स्कैन करें।.
5. सुधारें: कमजोर प्लगइन को निष्क्रिय करें, WAF नियम लागू करें, क्रेडेंशियल्स को घुमाएं, और अन्य कमजोरियों को पैच करें।.
6. यदि आवश्यक हो तो पुनर्निर्माण करें: यदि एक स्थायी बैकडोर संदिग्ध है, तो साफ स्रोतों से पुनर्निर्माण करें और सत्यापित सामग्री को चयनात्मक रूप से पुनर्स्थापित करें।.
7. घटना के बाद की समीक्षा: मूल कारण विश्लेषण करें और पुनरावृत्ति को रोकने के लिए नियंत्रण लागू करें।.
8. संवाद करें: नीति के अनुसार हितधारकों, ग्राहकों या नियामकों को सूचित करें।.

पुनर्प्राप्ति और परीक्षण

• बैकअप से पुनर्स्थापना करने और शमन लागू करने के बाद, पूर्ण सुरक्षा स्कैन और अखंडता जांच चलाएं।.
• सार्वजनिक पहुंच को पुनर्स्थापित करने से पहले साइट की कार्यक्षमता का परीक्षण करें, विशेष रूप से प्लगइन-निर्भर क्षेत्रों में।.
• सत्यापित करें कि WAF लॉग दुर्भावनापूर्ण प्रयासों को ब्लॉक कर रहे हैं और नियमों को तदनुसार समायोजित करें।.
• पुनर्प्राप्ति के बाद कई दिनों तक अनुवर्ती गतिविधियों के संकेतों के लिए निकटता से निगरानी करें।.

यह कमजोरियां विशेष रूप से वर्डप्रेस साइटों के लिए क्यों खतरनाक हैं

• वर्डप्रेस इंस्टॉलेशन आमतौर पर विभिन्न गुणवत्ता के कई तृतीय-पक्ष प्लगइन्स का उपयोग करते हैं - एक अप्रमाणित बग का व्यापक रूप से शोषण किया जा सकता है।.
• साझा होस्टिंग अनुमति मॉडल फ़ाइल-हटाने वाले बग से होने वाले नुकसान को बढ़ा सकते हैं।.
• हटाना चुपचाप और तात्कालिक है - हमलावर स्पष्ट हमले के अवशेष छोड़े बिना नुकसान पहुंचा सकते हैं जो RCE के लिए सामान्य हैं।.

अक्सर पूछे जाने वाले प्रश्न

प्रश्न: यदि मैं प्लगइन को निष्क्रिय कर दूं, तो क्या हटाई गई फ़ाइलें वापस आएंगी?

नहीं। प्लगइन को निष्क्रिय करना आगे के शोषण को रोकता है लेकिन हटाई गई फ़ाइलों को पुनर्स्थापित नहीं करता। बैकअप से पुनर्स्थापना करें या मैनुअल पुनर्प्राप्ति करें।.

प्रश्न: क्या फ़ाइल हटाने को सर्वर ट्रैश या अस्थायी संग्रहण से पुनर्प्राप्त किया जा सकता है?

आमतौर पर नहीं। वेब सर्वर आमतौर पर फ़ाइलों को तुरंत हटा देते हैं। कुछ नियंत्रण पैनल या होस्ट स्नैपशॉट या ट्रैश सुविधाएँ प्रदान करते हैं - तुरंत अपने होस्ट से संपर्क करें।.

प्रश्न: क्या मुझे विक्रेता पैच जारी होने पर प्लगइन को फिर से सक्षम करना चाहिए?

केवल तभी जब यह सत्यापित हो जाए कि विक्रेता का पैच सही तरीके से प्राधिकरण जांच और नॉनस मान्यता को लागू करता है। उत्पादन में फिर से सक्षम करने से पहले स्टेजिंग में पैच का परीक्षण करें। यदि विक्रेता की प्रतिक्रिया खराब है, तो प्लगइन को पूरी तरह से हटाने और कार्यक्षमता को माइग्रेट करने पर विचार करें।.

दीर्घकालिक रक्षा जो प्रशासकों को लागू करनी चाहिए

• एक प्लगइन जीवनचक्र नीति लागू करें: जांचें, सूची बनाएं, अपडेट करें और अप्रयुक्त प्लगइनों को हटाएं।.
• भूमिका-आधारित पहुँच नियंत्रण का उपयोग करें और प्रशासक खातों की संख्या को न्यूनतम करें।.
• तैनाती और सुरक्षा संचालन के लिए कर्तव्यों को अलग करें।.
• विकास पाइपलाइनों में सुरक्षा परीक्षण को एकीकृत करें और कमजोर प्लगइन संस्करणों का पता लगाने के लिए निर्भरता जांच चलाएँ।.
• कमजोरियों की निगरानी का कार्यक्रम बनाएं और त्वरित प्रतिक्रिया के लिए आभासी पैचिंग क्षमताओं को तैयार करें।.

अंतिम विचार - हांगकांग के एक सुरक्षा विशेषज्ञ का नोट

मनमाने फ़ाइल हटाने में धोखाधड़ी से विनाशकारी प्रभाव होता है: इसके लिए कोई विशेषाधिकार वृद्धि की आवश्यकता नहीं होती है और इसके प्रभाव तात्कालिक और महंगे हो सकते हैं। हांगकांग और अन्य उच्च घनत्व वाले होस्टिंग बाजारों में एक प्रैक्टिशनर के दृष्टिकोण से, गति महत्वपूर्ण है। नुकसान की खिड़की को कम करने के लिए जल्दी से पहचानें, अलग करें और कम करें।.

स्तरित रक्षा लागू करें: सख्त बैकअप, न्यूनतम विशेषाधिकार अनुमतियाँ, निगरानी, और विक्रेता सुधारों की प्रतीक्षा करते समय WAF-आधारित आभासी पैच। यदि आप कई साइटों का प्रबंधन करते हैं, तो AJAX या फ़ाइल-हैंडलिंग एंडपॉइंट्स को उजागर करने वाले प्लगइनों के लिए सूची और त्वरित कम करने को प्राथमिकता दें।.

यदि आप सुनिश्चित नहीं हैं कि आपकी साइट प्रभावित है या संदिग्ध गतिविधि की जांच में सहायता की आवश्यकता है, तो फोरेंसिक समर्थन के लिए विश्वसनीय सुरक्षा पेशेवरों या अपने होस्टिंग प्रदाता से संपर्क करें।.

— हांगकांग सुरक्षा विशेषज्ञ