Dostępność wp-cron.php

Dostępność wp-cron.php to parametr monitoringu stron internetowych, który sprawdza, czy plik wp-cron.php w katalogu głównym WordPressa odpowiada na żądania z zewnątrz. Pomiar kończy się jednym z trzech wyników: plik odpowiada, dostęp jest zablokowany albo nie udało się uzyskać odpowiedzi. Nagłówek pliku opisuje go jako pseudodemona crona, który uruchamia zaplanowane zadania WordPressa ^[3].

Jak działa

WP-Cron przy każdym wczytaniu strony sprawdza listę zaplanowanych zadań i uruchamia te, na które przyszła pora ^[1]. W przeciwieństwie do systemowego crona nie działa stale: zadanie zaplanowane na 14:00 wykona się dopiero przy pierwszym wczytaniu strony, np. o 17:00 ^[1].

Uruchomienie odbywa się przez HTTP. Funkcja spawn_cron zakłada blokadę i wysyła do wp-cron.php na tej samej stronie żądanie pętli zwrotnej (ang. loopback) z parametrem doing_wp_cron, z limitem czasu 0,01 s i bez czekania na odpowiedź ^[4]. Od wersji 6.9 jest to wywoływane na akcji shutdown, bo wcześniejsze wywołanie wydłużało czas do pierwszego bajtu strony ^[4]. Sam wp-cron.php najpierw wczytuje środowisko WordPressa przez wp-load.php, potem sprawdza, czy są zadania gotowe do uruchomienia i czy blokada należy do tego wywołania, i dopiero wtedy wykonuje zadania ^[3].

RYS. 1.1Wywołanie WP-Cron przy wizycie

Stała DISABLE_WP_CRON w wp-config.php wyłącza WP-Cron ^[5]: wizyty przestają wywoływać wp-cron.php ^[4]. Podręcznik zaleca wtedy harmonogram systemu, np. wpis crontab z poleceniem wget --delete-after http://YOUR_SITE_URL/wp-cron.php, uruchamiany raz na dobę albo co 15 minut ^[2]. Nagłówek wp-cron.php zaznacza, że ta stała i bezpośrednie wywołanie pliku wzajemnie się wykluczają, a wywołanie bezpośrednie działa bez niej ^[3]. Stała nie zamyka więc pliku, tylko przenosi wywołanie z wizyt na zewnętrzny harmonogram.

Standardy i specyfikacje

• Plugin Handbook: Cron opisuje model wywołania przy wczytaniu strony ^[1], a rozdział o harmonogramie systemu — wyłączenie tego modelu i wywoływanie wp-cron.php przez HTTP ^[2].
• wp-config.php opisuje ALTERNATE_WP_CRON, tryb z przekierowaniem przeglądarki, stosowany zwykle wtedy, gdy zaplanowane wpisy nie publikują się na czas, oraz WP_CRON_LOCK_TIMEOUT: proces crona nie uruchomi się częściej niż raz na podaną liczbę sekund ^[5].
• CVE-2023-22622: WordPress do wersji 6.1.1 uzależnia wykonanie wp-cron.php, a z nim aktualizacji bezpieczeństwa, od nieprzewidywalnych wizyt, a przewodniki instalacji i bezpieczeństwa o tym nie wspominają. NVD ocenia wpis na 5,3 w CVSS 3.1 ^[7].

Zagrożenia i skutki

Obciążenie żądaniami. W raporcie z 2023 roku w programie ujawniania podatności Departamentu Obrony USA na HackerOne badacz opisał wp-cron.php jako cel odmowy usługi: po około tysiącu żądań wysłanych skryptem strona zwracała kod 502. Raport zamknięto jako rozwiązany ^[6]. Kod pliku pokazuje, skąd koszt: każde żądanie wczytuje całe środowisko WordPressa, zanim sprawdzi listę zadań i blokadę ^[3]. Blokada ogranicza powtórne wykonanie zadań, a nie liczbę żądań ^{[3] [5]}. Zalecane w raporcie DISABLE_WP_CRON z cronem systemowym ^[6] nie odcina pliku od żądań z zewnątrz ^[3].

Opóźnione zadania. Na stronie z małym ruchem zadania wykonują się z opóźnieniem ^[1], co CVE-2023-22622 wiąże z opóźnieniem aktualizacji bezpieczeństwa ^[7]. Zablokowanie wp-cron.php na serwerze bez innego harmonogramu daje ten sam skutek, bo pętla zwrotna i polecenie wget wywołują ten sam adres ^{[2] [4]}.

Publiczny plik to norma. Mechanizm wymaga, żeby wp-cron.php odpowiadał na żądania HTTP: wywołuje go sam WordPress ^[4] albo zewnętrzny harmonogram ^[2]. Odpowiedź 200 jest domyślnym stanem instalacji, a nie błędem konfiguracji.

RYS. 1.2Obsługa żądania wp-cron.php

Przykłady

Konfiguracja	Kto wywołuje wp-cron.php	Odpowiedź na GET /wp-cron.php
Domyślna [1] [4]	WordPress przy wizycie, pętlą zwrotną	200, pusta treść [3]
DISABLE_WP_CRON i crontab z wget [2]	harmonogram systemu przez HTTP	200, plik nadal publiczny [3]
ALTERNATE_WP_CRON [5]	odwiedzający po przekierowaniu, plik dołączany w tym samym żądaniu [4]	200
Plik zablokowany, brak harmonogramu	pętla zwrotna nie dociera do pliku [4]	403, zadania czekają
Seria żądań wysłanych skryptem [6]	skrypt obciążający	502 przy przeciążeniu serwera