Консультативный материал по уязвимостям, для которых подтверждено активное использование в атаках (они включены в каталог CISA KEV). Описано, что происходит, что затронуто и как реагировать. Инструкций по атакам и демонстраций эксплуатации здесь нет.
Ветка 6.8 не затронута той же цепочкой RCE
В официальном уведомлении обе уязвимости указаны для веток 6.9 и 7.0, но для 6.8 — только CVE-2026-60137. Рекомендация обновиться до 6.8.6 не означает, что эта ветка подвержена CVE-2026-63030.
- CVE
- CVE-2026-63030 (подмена маршрута, CWE-436) + связанная CVE-2026-60137 (SQL-инъекция, CWE-89)
- Серьёзность
- Критическая (CVSS 9,8), активно эксплуатируется (CISA KEV; срок устранения — 2026-07-24)
- Тип
- Подмена маршрута в REST API × SQL-инъекция в author__not_in → SQL-инъекция без аутентификации → RCE
- Последствия
- SQL-инъекция без аутентификации, удалённое выполнение кода (RCE), кража данных
- Затронуто
- 63030: ветки 6.9.x / 7.0.x; ветка 6.8.x затронута только 60137
- Основное исправление
- Обновление до 6.8.6 / 6.9.5 / 7.0.2 или новее
Доступ без аутентификации
Подмена маршрута в REST API (CWE-436)
SQL-инъекция через author__not_in
RCE и кража данных
Исправление: обновление до 6.8.6 / 6.9.5 / 7.0.2 или новее
Почему опасно не устанавливать обновление
Поскольку RCE доступно без аутентификации, публичные сайты на WordPress попадают под массовое автоматизированное сканирование. Это уязвимость ядра, а не отдельного плагина, поэтому каждый сайт на затронутой версии потенциально находится под угрозой. CISA обязала федеральные ведомства устранить уязвимость до 2026-07-24. Довод «мы слишком малы, чтобы нас атаковали» не работает.
Что затронуто
| Параметр | Детали |
|---|---|
| Объект | Ядро WordPress |
| Затронутые версии | 6.8.0–6.8.5 (60137) / 6.9.0–6.9.4 / 7.0.0–7.0.1 |
| Исправленная версия | 6.8.6 / 6.9.5 / 7.0.2 и новее |
| Условие | Без аутентификации в связке |
| Доступное последствие | SQL-инъекция → удалённое выполнение кода (RCE); кража данных |
| Статус | Обе уязвимости активно эксплуатируются (CISA KEV; срок устранения — 2026-07-24) |
О различиях в оценках серьёзности (с обеих сторон)
Серьёзность CVE-2026-60137 сама по себе различается в зависимости от источника. WPScan оценивает её в CVSS 5,9 (сама по себе она требует, чтобы плагин или тема передали ненадёжные данные в author__not_in, — это предварительное условие доступности), а CISA оценивает в 9,1. В связке с подменой маршрута из CVE-2026-63030 она становится доступной напрямую через REST API и фактически эксплуатируется без аутентификации (CVSS 9,8). Различие отражает то, как каждый источник оценивает предварительное условие доступности; ответ один — обновиться до исправленной версии.
Как реагировать
Обновите ядро до 6.8.6 / 6.9.5 / 7.0.2+ (первоочередно)
Проверьте наличие компрометации (исходите из того, что до обновления сайт могли атаковать)
Временная защита до обновления (эшелонированная защита)
Автоматически отслеживайте CVE для ядра, плагинов и тем
Позиция этого сайта: проектируйте, исходя из того, что любые входные данные ненадёжны
По существу эта уязвимость возникает, когда ненадёжные данные попадают в запрос по неожиданному пути (подмена маршрута). SQL-инъекцию предотвращают, всегда используя параметризованные запросы (подготовленные выражения) и всегда очищая и проверяя входные данные независимо от пути и предполагаемых условий. Обновление обязательно, но в долгосрочной перспективе окупаются подход «не доверяй входным данным» и регулярная практика автоматического отслеживания CVE для ядра и плагинов с быстрым обновлением.
Что читать дальше
- Глоссарий: что такое SQL-инъекция / что такое RCE (удалённое выполнение кода) / что такое CVE
- Практика: руководство по устранению CVE (автоматический мониторинг и быстрое обновление)
- Все уведомления: уведомления об уязвимостях
Источники и область охвата
Эти первоисточники подтверждают настройки, область охвата и рекомендации по устранению, описанные выше; ссылки проверены 23 октября 2026 года. Учитывайте условия по версиям и конфигурации. Приоритеты в чек-листе и выводы — это рекомендации данного сайта, а не полная повторная проверка статьи и не гарантия безопасности.