परफमैटर्स (≤ 2.5.9) में डायरेक्टरी ट्रैवर्सल — वर्डप्रेस साइट मालिकों को अभी क्या करना चाहिए

सारांश: एक उच्च-गंभीरता वाली डायरेक्टरी ट्रैवर्सल और मनमाने फ़ाइल ओवरराइट भेद्यता (CVE-2026-4351) परफमैटर्स संस्करणों ≤ 2.5.9 को प्रभावित करती है। एक प्रमाणित उपयोगकर्ता जिसके पास सब्सक्राइबर विशेषाधिकार हैं, फ़ाइल सिस्टम पर फ़ाइल ओवरराइट कर सकता है। विक्रेता ने एक पैच किया हुआ संस्करण (2.6.0) जारी किया। यह सलाह जोखिम, व्यावहारिक हमले के परिदृश्य, पहचान बिंदु और साइट मालिकों और ऑपरेटरों के लिए एक तात्कालिक कार्य योजना को समझाती है।.

क्या हुआ?

परफमैटर्स ने एक कोड पथ शामिल किया जो “स्निप्पेट्स” पैरामीटर को संसाधित करता है जिसका उपयोग स्निप्पेट्स को संग्रहीत और अपडेट करने के लिए किया जाता है। एक प्रमाणित उपयोगकर्ता जिसके पास सब्सक्राइबर स्तर के विशेषाधिकार हैं, ऐसा तैयार इनपुट सबमिट कर सकता है जो डायरेक्टरी ट्रैवर्सल को ट्रिगर करता है और वेब सर्वर/PHP प्रक्रिया द्वारा मनमाने फ़ाइल ओवरराइट की अनुमति देता है। डायरेक्टरी ट्रैवर्सल सापेक्ष पथ टोकनों (उदाहरण के लिए “../”) को इच्छित डायरेक्टरी के बाहर स्थानों में परिवर्तित करता है; जब इसे लिखने के संचालन के साथ जोड़ा जाता है, तो यह उन फ़ाइलों को ओवरराइट करने की अनुमति देता है जिन्हें एप्लिकेशन या प्रक्रिया लिख सकती है।.

व्यावहारिक परिणामों में शामिल हैं:

• हमलावर-नियंत्रित PHP (वेब शेल/बैकडोर) के साथ थीम, प्लगइन या अन्य कोड फ़ाइलों को ओवरराइट करना।.
• स्थायी बैकडोर लगाना जो पुनरारंभों को सहन करते हैं और विशेषाधिकार वृद्धि की अनुमति देते हैं।.
• साइट के व्यवहार को बदलने या डेटा को एक्सफिल्ट्रेट करने के लिए कॉन्फ़िगरेशन या अन्य फ़ाइलों को बदलना।.
• महत्वपूर्ण फ़ाइलों को भ्रष्ट करके साइट की उपलब्धता को तोड़ना।.

यह क्यों महत्वपूर्ण है — खतरे का मॉडल

इस भेद्यता के खतरनाक होने के प्रमुख कारण:

• आवश्यक विशेषाधिकार कम है: सब्सक्राइबर। कई साइटें स्व-पंजीकरण की अनुमति देती हैं या कार्यप्रवाह के लिए सब्सक्राइबर खातों का उपयोग करती हैं।.
• मनमाना फ़ाइल ओवरराइट: एक सैंडबॉक्स स्टोरेज क्षेत्र तक सीमित नहीं — हमलावर इच्छित पथ के बाहर फ़ाइलों को लक्षित कर सकते हैं।.
• उच्च प्रभाव: ओवरराइट जो कोड निष्पादन या स्थायी समझौता की ओर ले जाते हैं, हानि को महत्वपूर्ण रूप से बढ़ाते हैं।.
• सामूहिक शोषण की संभावना: एक बार जब एक विश्वसनीय शोषण पैटर्न सार्वजनिक हो जाता है, तो स्वचालन कम-कुशल अभिनेताओं को बड़ी संख्या में साइटों को क्रॉल और समझौता करने की अनुमति देता है।.

तकनीकी सारांश (गैर-शोषणकारी)

• संवेदनशील एंडपॉइंट: प्लगइन क्रिया जो स्निप्पेट पैरामीटर को संभालती है।.
• वर्ग: डायरेक्टरी ट्रैवर्सल + मनमाने फ़ाइल ओवरराइट।.
• ट्रिगर: स्निप्पेट्स में तैयार किया गया पथ डेटा जो स्वच्छता/मान्यता को बायपास करता है और अनुमत निर्देशिका के बाहर लिखता है।.
• पैच किया गया: परफमैटर्स 2.6.0।.
• CVE: CVE-2026-4351।.

हम प्रमाण-की-धारणाओं या शोषण कोड को प्रकाशित नहीं करेंगे। यदि आपको निदान के लिए पुनरुत्पादन चरणों की आवश्यकता है, तो प्लगइन विक्रेता या एक योग्य सुरक्षा पेशेवर से संपर्क करें जो आपके साथ निजी और सुरक्षित रूप से काम कर सके।.

तात्कालिक क्रियाएँ — प्राथमिकता और शमन (क्रमबद्ध)

यदि आपकी किसी साइट पर परफमैटर्स ≤ 2.5.9 चल रहा है, तो प्राथमिकता क्रम में निम्नलिखित कदम उठाएँ।.

1. प्लगइन को 2.6.0 (या बाद में) अपडेट करें

यह एकमात्र पूर्ण समाधान है। यदि आवश्यक हो तो स्टेजिंग पर अपडेट का परीक्षण करें, लेकिन एक बार मान्य होने के बाद पैच को उत्पादन में प्राथमिकता के रूप में लागू करें। कई साइटों के लिए, अपडेट को जल्दी लागू करने के लिए आपके पास जो भी केंद्रीय प्रबंधन या स्वचालन है, उसका उपयोग करें।.

2. यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो एप्लिकेशन-स्तरीय सुरक्षा (वर्चुअल पैचिंग) लागू करें

अस्थायी HTTP-स्तरीय सुरक्षा लागू करें जो स्निप्पेट पैरामीटर को लक्षित करने वाले शोषण पैटर्न को अवरुद्ध करती है। व्यावहारिक नियम मार्गदर्शन:

• Block requests where the parameter contains path traversal tokens (../) or their encoded forms (%2e%2e, %2f, null bytes).
• जहाँ संभव हो, अपेक्षित स्निप्पेट नाम/अक्षरों को अनुमति दें (अल्फ़ान्यूमेरिक, डैश, अंडरस्कोर)।.
• बार-बार प्रयासों की दर-सीमा निर्धारित करें और संदिग्ध खातों/IPs को अवरुद्ध करें जो जांच गतिविधि कर रहे हैं।.

नोट: वर्चुअल पैचिंग एक अस्थायी उपाय है, कोड फिक्स का विकल्प नहीं।.

3. प्लगइन एंडपॉइंट्स तक पहुँच को प्रतिबंधित करें

यदि आपकी साइट को सार्वजनिक स्निप्पेट संपादन की आवश्यकता नहीं है, तो IP द्वारा पहुँच को प्रतिबंधित करें, मजबूत प्रमाणीकरण की आवश्यकता करें, या अतिरिक्त सर्वर-साइड जांचों के पीछे कार्यक्षमता को गेट करें। सुनिश्चित करें कि सर्वर-साइड क्षमता जांचें मौजूद हैं ताकि केवल उचित विशेषाधिकार प्राप्त उपयोगकर्ता फ़ाइल लिख सकें।.

4. फ़ाइल प्रणाली अनुमतियों को मजबूत करें

• सुनिश्चित करें कि वेब सर्वर/PHP प्रक्रियाएँ केवल आवश्यकतानुसार (अपलोड) लिखने की अनुमति रखती हैं। जहाँ संभव हो, प्लगइन और थीम कोड निर्देशिकाओं को लिखने की अनुमति देने से बचें।.
• मानक मार्गदर्शन: फ़ाइलें 644, निर्देशिकाएँ 755। जहां होस्ट समर्थन करता है, वहां प्रत्येक साइट के लिए अलग उपयोगकर्ता खाते या PHP-FPM पूल का उपयोग करें।.

समझौते के संकेतों के लिए स्कैन करें

नए जोड़े गए या संशोधित PHP फ़ाइलों की खोज करें, विशेष रूप से प्लगइन, थीम और अपलोड निर्देशिकाओं में। अस्पष्ट कोड, अप्रत्याशित स्वामित्व परिवर्तन, और हाल की टाइमस्टैम्प वाली फ़ाइलों की तलाश करें जो प्रकटीकरण विंडो के आसपास हों।.

6. क्रेडेंशियल्स को घुमाएँ और खातों की समीक्षा करें

• प्रशासकों और संदिग्ध गतिविधि से ठीक पहले बनाए गए खातों के लिए पासवर्ड रीसेट करने के लिए मजबूर करें।.
• यदि आपको संदेह है कि एक्सपोज़र हुआ है, तो API कुंजियाँ और रहस्यों को रद्द करें।.

7. बैकअप और पुनर्प्राप्ति

किसी भी संदिग्ध समझौते से पहले एक साफ बैकअप रखें। यदि आपको पुनर्स्थापित करना है, तो पहले फोरेंसिक स्नैपशॉट और लॉग को संरक्षित करें ताकि जांच का समर्थन किया जा सके।.

पहचान - क्या देखना है

शोषण के संकेतों में शामिल हैं, लेकिन इन्हीं तक सीमित नहीं हैं:

• प्लगइन/थीम फ़ोल्डरों या अपलोड/ में नए या संशोधित PHP फ़ाइलें।.
• अपेक्षित भंडारण स्थानों के बाहर लिखी गई फ़ाइलें।.
• अप्रत्याशित व्यवस्थापक/संपादक खाते, या हाल ही में बनाए गए खाते जिनकी भूमिकाएँ ऊँची हैं।.
• संदिग्ध “स्निपेट्स” पैरामीटर मानों के साथ एक्सेस लॉग में POST अनुरोध।.
• संदिग्ध अनुसूचित कार्य (wp-cron) या अप्रत्याशित सामग्री वाले स्थायी WP विकल्प।.
• सर्वर से अपरिचित डोमेन या आईपी के लिए आउटबाउंड कनेक्शन।.

लॉग खोज टिप्स:

• प्लगइन क्रिया एंडपॉइंट के लिए अनुरोधों के लिए एक्सेस लॉग की खोज करें और पथ टोकन (../) या लंबे एन्कोडेड पेलोड के लिए POST बॉडी की जांच करें।.
• हाल ही में बदली गई फ़ाइलों को खोजने के लिए फ़ाइल अखंडता उपकरण या टाइमस्टैम्प का उपयोग करें।.

एप्लिकेशन-स्तरीय सुरक्षा (WAF / वर्चुअल पैचिंग) क्यों महत्वपूर्ण है

वर्चुअल पैचिंग HTTP पैरामीटर की जांच करता है इससे पहले कि कमजोर कोड चले। निर्देशिका-क्रॉसिंग + फ़ाइल-लेखन समस्याओं के लिए, यह तत्काल हमले की सतह को कम करता है जबकि आप अपडेट शेड्यूल या परीक्षण करते हैं। सामान्य WAF व्यवहार जो मदद करते हैं:

• ट्रैवर्सल टोकन और संदिग्ध फ़ाइल एक्सटेंशन के लिए GET/POST/JSON पैरामीटर की जांच करें।.
• उन खातों से फ़ाइल लेखन करने के लिए अनुरोधों को ब्लॉक या चुनौती दें जो ऐसा नहीं करना चाहिए।.
• स्वचालित सामूहिक स्कैनिंग उपकरणों को सफल होने से रोकने के लिए दर-सीमा और थ्रॉटलिंग करें।.

चेतावनी: खराब लिखे गए या अत्यधिक व्यापक नियम वैध कार्यक्षमता को तोड़ सकते हैं। नियमों का परीक्षण स्टेजिंग पर करें और लागू करने से पहले निगरानी/लॉगिंग मोड में शुरू करें।.

हार्डनिंग चेकलिस्ट - मध्यम और दीर्घकालिक

• WordPress कोर, थीम और प्लगइन्स को अद्यतित रखें।.
• उपयोगकर्ता खातों के लिए न्यूनतम विशेषाधिकार लागू करें; अप्रयुक्त खातों को हटा दें या पदावनत करें।.
• संपादन क्षमताओं को सीमित करें: केवल विश्वसनीय प्रशासकों को प्लगइन/थीम संपादक अधिकार होना चाहिए।.
• अपलोड निर्देशिकाओं में PHP निष्पादन को ब्लॉक करें (।htaccess/Nginx नियमों या होस्ट नियंत्रण के माध्यम से)।.
• जहां संभव हो, वेब प्रक्रिया द्वारा प्लगइन/थीम कोड के लिए पूर्ण लेखन पहुंच हटा दें (होस्ट-स्तरीय पृथक्करण का उपयोग करें)।.
• विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए दो-कारक प्रमाणीकरण (2FA) की आवश्यकता करें।.
• स्वचालित स्कैन और फ़ाइल परिवर्तन निगरानी का कार्यक्रम बनाएं।.
• कुंजी के साथ SFTP/SSH का उपयोग करें; सामान्य FTP से बचें।.
• लॉग को केंद्रीकृत करें और यदि आप कई साइटों का प्रबंधन करते हैं तो SIEM एकीकरण पर विचार करें।.

घटना प्रतिक्रिया - चरण दर चरण

1. अलग करें: यदि अखंडता पर संदेह है तो साइट को ऑफ़लाइन या रखरखाव मोड में ले जाएं। यदि सक्रिय डेटा निकासी का संदेह है तो सर्वर को नेटवर्क से अलग करें।.
2. सबूत को संरक्षित करें: पहुंच/त्रुटि लॉग एकत्र करें और परिवर्तनों से पहले फ़ाइल सिस्टम और डेटाबेस की फोरेंसिक प्रति बनाएं।.
3. दायरा पहचानें: लिखी गई/संशोधित फ़ाइलें, उपयोग किए गए खाते, और स्थायी तंत्र (क्रॉन, विकल्प, गिराए गए प्लगइन्स) खोजें।.
4. साफ करें: इंजेक्ट की गई फ़ाइलें और बैकडोर हटा दें; सत्यापित बैकअप से स्वच्छ फ़ाइलों को पुनर्स्थापित करना पसंद करें।.
5. सुधारें: Perfmatters को 2.6.0 में अपडेट करें, अनुमतियों को ठीक करें, और आवश्यकतानुसार आभासी पैच या होस्ट सुरक्षा लागू करें।.
6. पुनर्प्राप्त करें और मान्य करें: एक स्वच्छ बैकअप से पुनर्स्थापित करें, चेकसम और स्कैन के साथ अखंडता को मान्य करें, और पुनर्स्थापना के बाद निकटता से निगरानी करें।.
7. घटना के बाद की समीक्षा: दस्तावेज़ मूल कारण, उठाए गए कार्य, और भविष्य की प्रतिक्रिया समय को कम करने के लिए रनबुक और स्वचालन को अपडेट करें।.

पहचान और निगरानी नियम उदाहरण

नीचे WAF या सर्वर निगरानी उपकरण में लागू करने के लिए रक्षा नियम विचार दिए गए हैं। ये जानबूझकर उच्च-स्तरीय और गैर-शोषणकारी हैं।.

• पैटर्न ब्लॉक: Block requests where the “snippets” parameter (POST or JSON) contains “../” or encoded variants (%2e%2e, %2f).
• पैरामीटर प्रवर्तन: स्निप्पेट पहचानकर्ताओं के लिए केवल अपेक्षित वर्णों की अनुमति दें (अल्फ़ान्यूमेरिक, -, _)।.
• भूमिका गेटिंग: उन खातों से लिखने के अनुरोधों को चुनौती दें या ब्लॉक करें जिनकी भूमिका सब्सक्राइबर है, उन एंडपॉइंट्स के लिए जो फ़ाइल लिखते हैं।.
• फ़ाइल लिखने की निगरानी: जब भी प्लगइन या थीम निर्देशिकाओं में कोई फ़ाइल वेब सर्वर/PHP प्रक्रिया द्वारा बनाई या संशोधित की जाती है, तो अलर्ट करें।.
• दर सीमित करना: एक ही IP से एक ही एंडपॉइंट पर बार-बार अनुरोधों को थ्रॉटल करें।.

साइट मालिकों के लिए संचार चेकलिस्ट

• आंतरिक हितधारकों और होस्टिंग/ऑपरेशंस टीमों को तुरंत सूचित करें।.
• उपयोगकर्ताओं को केवल तभी सूचित करें जब डेटा का खुलासा पुष्टि हो या यदि कानून द्वारा आवश्यक हो।.
• यदि आप विनियमित व्यक्तिगत डेटा को संसाधित करते हैं, तो प्रकटीकरण दायित्वों के संबंध में कानूनी सलाहकार से परामर्श करें।.
• अपने होस्टिंग प्रदाता के साथ घटना के विवरण साझा करें - उनके पास अक्सर अतिरिक्त पहचान और सुधार क्षमताएँ होती हैं।.

सामान्य प्रश्न

प्रश्न: मैं सब्सक्राइबर पंजीकरण की अनुमति देता हूँ - क्या इससे मैं कमजोर हो जाता हूँ?

उत्तर: हाँ। इस कमजोरी का शोषण करने के लिए एक सब्सक्राइबर खाता आवश्यक है। यदि आप सब्सक्राइबर पर खुली पंजीकरण की अनुमति देते हैं, तो अपनी जोखिम को उच्च मानें और पैच और मुआवजा नियंत्रणों को प्राथमिकता दें।.

प्रश्न: मेरी साइट एक होस्ट फ़ायरवॉल के पीछे है - क्या मैं सुरक्षित हूँ?

A: होस्ट नेटवर्क फ़ायरवॉल नेटवर्क-स्तरीय खतरों में मदद करते हैं लेकिन आमतौर पर एप्लिकेशन-स्तरीय WAF की तरह POST बॉडी में एप्लिकेशन पैरामीटर की जांच नहीं करते हैं। इस प्रकार की कमजोरियों के लिए एप्लिकेशन-स्तरीय सुरक्षा या विक्रेता पैच अधिक प्रभावी होते हैं।.

Q: क्या मुझे अब Perfmatters प्लगइन को निष्क्रिय करना चाहिए?

A: निष्क्रिय करना कमजोर कोड पथ को हटा देता है और यदि आप पैच नहीं कर सकते हैं तो यह एक प्रभावी तात्कालिक समाधान है। ध्यान रखें कि यह साइट के व्यवहार को बदल सकता है; अपने वातावरण के लिए सुरक्षा और कार्यक्षमता के बीच व्यापार-बंद का मूल्यांकन करें।.

Q: क्या साइट स्कैन करना पर्याप्त है कि मैं आश्वस्त हो सकूं कि मुझे समझौता नहीं किया गया था?

A: स्कैन मदद करते हैं लेकिन पूर्ण नहीं होते। फ़ाइल अखंडता जांच, लॉग समीक्षा, और कॉन्फ़िगरेशन निरीक्षण को मिलाएं। संदिग्ध जटिल समझौते के लिए, एक पेशेवर घटना प्रतिक्रियाकर्ता को शामिल करें।.

त्वरित कार्रवाई सारांश

• Perfmatters को संस्करण 2.6.0 या बाद में अपडेट करें — उच्चतम प्राथमिकता।.
• यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो एप्लिकेशन-स्तरीय सुरक्षा लागू करें जो स्निपेट पैरामीटर में पथ यात्रा को अवरुद्ध करती है और अनुमतियों और पहुंच को मजबूत करती है।.
• मैलवेयर और हाल के फ़ाइल परिवर्तनों के लिए स्कैन करें। सफाई से पहले लॉग को संरक्षित करें।.

परिशिष्ट: त्वरित चेकलिस्ट (कॉपी-पेस्ट)

• [ ] प्रत्येक साइट पर Perfmatters संस्करण की पुष्टि करें।.
• [ ] जहां संभव हो, तुरंत 2.6.0 (या बाद में) अपडेट करें।.
• [ ] यदि तुरंत अपडेट नहीं कर रहे हैं, तो स्निपेट पैरामीटर में पथ यात्रा को अवरुद्ध करने वाले एप्लिकेशन-स्तरीय नियमों को सक्षम/सत्यापित करें।.
• [ ] पूर्ण मैलवेयर स्कैन और फ़ाइल परिवर्तन पहचान चलाएं।.
• [ ] प्लगइन/थीम निर्देशिकाओं में हाल के परिवर्तनों की समीक्षा करें (टाइमस्टैम्प)।.
• [ ] प्रशासन और होस्टिंग खातों के लिए क्रेडेंशियल्स को घुमाएं।.
• [ ] अज्ञात प्रशासन/संपादक उपयोगकर्ताओं की जांच करें और उन्हें हटा दें।.
• [ ] फ़ाइल सिस्टम अनुमतियों को मजबूत करें और अपलोड निर्देशिकाओं में PHP निष्पादन को अवरुद्ध करें।.
• [ ] सुधार से पहले लॉग और बैकअप को संरक्षित करें।.
• [ ] यदि आपके पास इन-हाउस क्षमता की कमी है तो एक योग्य सुरक्षा सलाहकार को शामिल करने पर विचार करें।.

यदि आपको सहायता की आवश्यकता है: एक योग्य सुरक्षा सलाहकार या आपकी होस्टिंग समर्थन टीम को शामिल करें ताकि वे कमजोरियों के स्कैन करें, अस्थायी सुरक्षा लागू करें, और घटना प्रतिक्रिया चलाएं। इसे उच्च प्राथमिकता वाले संचालन सुरक्षा कार्य के रूप में मानें और जल्दी कार्रवाई करें।.

सतर्क रहें — हांगकांग सुरक्षा विशेषज्ञ