Для кого эта статья: для тех, кто ведет сайты на WordPress (собственный сервер, VPS, общий хостинг, управляемый хостинг WordPress), и для тех, кто доверяет обновление сайтов агентству или провайдеру. Статья основана на объявлении и рекомендации проекта WordPress, записи CVE и сообщениях прессы. Она не описывает шаги атаки.
Развивающаяся ситуация: эта страница будет обновляться по мере публикации новых данных
- Кого это касается
для тех, кто ведет сайты на WordPress (собственный сервер, VPS, общий хостинг, управляемый хостинг WordPress), и для тех, кто доверяет обновление сайтов агентству или провайдеру.
- ПодтвержденоСмотреть таблицу ↓
- Уязвимость
- Затронутые версии
- Исправленные версии
Ещё 2
- Серьезность
- Номер CVE
- Пока не подтверждено
- Внесет ли CISA эту CVE в каталог Known Exploited Vulnerabilities (на 2 ноября в нем нет)
- Подтвердится ли успешная эксплуатация или взлом (поставщик защиты о таком не сообщал)
- Собственная оценка NVD (статус: Received)
Ещё 1
- Когда проект объявит исправленные версии для более старых веток (в объявлении сказано, что они выйдут по мере готовности)
- Что сделать сейчасСмотреть шаги ↓
- Проверьте версию WordPress
- Проверьте, что автообновления работают
- Сделайте резервную копию и обновитесь вручную
Ещё 3
- После обновления проверьте версию и сайт
- Если сайтом занимается кто-то другой, спросите его
- Если вы обновились поздно, посмотрите активность с 28 октября
- Где проверить (источник)Все источники ↓
- Проект WordPress, «WordPress 7.1.4 Security Release» (28 октября 2026 года)
- Последняя проверка
- По состоянию на 2 ноября 2026 года (JST)
Планы обновлений и что мы проверили
В объявлении о релизе безопасности WordPress 7.1.4 рекомендуется обновиться немедленно и сказано, что сайты с автоматическими фоновыми обновлениями начнут обновляться сами. CVE опубликована 31 октября. В прессе сообщают о запросах, нацеленных на эту уязвимость, но об успешном взломе не сообщается.
Что сделать сегодня
Проверьте версию WordPress
Откройте в админ-панели Консоль > Обновления, чтобы увидеть текущую версию и предлагается ли более новая. Если вы не можете войти или обслуживаете несколько сайтов, на сервере с установленным WP-CLI работает wp core version. Исправленные версии: 7.1.4 (ветка 7.1), 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14 и 6.4.14. В рекомендации указаны исправления и для более старых веток (см. таблицу ниже).
Проверьте, что автообновления работают
По умолчанию WordPress сам применяет небольшие обновления, например исправления безопасности. Их могут отключить настройка в файле конфигурации, плагин, конфигурация хостинга или права на файлы. Откройте в админ-панели Инструменты > Здоровье сайта и найдите проблемы с фоновыми обновлениями. Если вы не знаете, почему автообновления отключены, в этот раз обновитесь вручную.
Сделайте резервную копию и обновитесь вручную
Сохраните файлы и базу данных вне сервера (основы резервного копирования и восстановления). Затем нажмите «Обновить сейчас» на экране обновлений. Пока идет обновление, не закрывайте браузер и не запускайте другие обновления.
После обновления проверьте версию и сайт
Убедитесь, что на экране обновлений показана последняя версия, а главная страница, вход и формы обратной связи работают. В 7.1.4 также есть несколько исправлений хранимого XSS, поэтому обратите внимание на предупреждения от плагинов и темы.
Если сайтом занимается кто-то другой, спросите его
Если сайт ведут агентство, партнер, общий или управляемый хостинг, сегодня же спросите, кто и когда обновляет ядро WordPress. Версию проверьте в админ-панели и сами.
Если вы обновились поздно, посмотрите активность с 28 октября
Поищите с 28 октября незнакомые запросы, файлы, которые вы не добавляли, и учетные записи администраторов, которые вы не создавали. Как проверить, описано в статье как проверить, не взломан ли ваш сайт или сервер.
Автообновления включены
Запускаются сами (объявление). Убедитесь на экране обновлений, что это произошло
Автообновления отключены или не срабатывают
Обновляете вы. Резервная копия, обновление, проверка
Сайтом занимается агентство или хостинг
Спросите, кто и когда обновляет, и проверьте версию сами
Что говорится в объявлении и рекомендации
Проект WordPress 28 октября 2026 года опубликовал на wordpress.org объявление «WordPress 7.1.4 Security Release» со списком исправлений. Объяснение этой уязвимости содержится в рекомендации по безопасности на GitHub, опубликованной 29 октября.
- Релиз
- WordPress 7.1.4 выпущен 28 октября 2026 года. В объявлении рекомендуется немедленно обновить сайты
- Уязвимость (рекомендация)
- При обновлении ядра с полным пакетом WordPress распаковывал новые файлы в предсказуемый каталог внутри доступной из веба папки обновления. Неаутентифицированный злоумышленник, выигравший гонку с этой распаковкой, мог добиться удаленного выполнения кода (RCE)
- Формулировка в объявлении
- Указана как слабое место в процессе обновления, которое может привести к удаленному выполнению кода в окне обновления. На странице объявления нет оценки серьезности, номера CVE и списка затронутых версий
- Исправление
- Исправлено в 7.1.4. Согласно рекомендации, в качестве любезности к пользователям старых веток исправление перенесено во все ветки вплоть до 4.7. В объявлении сказано, что бэкпорты будут выходить по мере готовности
- Серьезность (WordPress)
- В рекомендации оценена как Low, балл не указан
- Автообновления
- В объявлении сказано, что на сайтах с автоматическими фоновыми обновлениями процесс обновления начнется автоматически
- Поддержка
- В объявлении сказано, что активно поддерживается только самая последняя версия WordPress
- Другие исправления в релизе
- Несколько проблем хранимого XSS и неопубликованные наборы изменений Customizer, которые могли обнаружить неаутентифицированные пользователи, и другие (список из объявления)
- CVE
- CVE-2026-119977, опубликована компанией Wordfence, занимающейся безопасностью, в роли CNA. Статус в NVD — Received, собственной оценки NVD не добавил
- Описание
- Ядро WordPress с 4.7 по 7.1.3: предсказуемые, доступные из веба промежуточные пути, используемые при обновлении ядра с полным пакетом, позволяют неаутентифицированным злоумышленникам выполнять код на сервере в окне обновления
- Серьезность (CVE)
- CVSS v3.1 8,1 (High): сеть, без привилегий, без участия пользователя, высокая сложность атаки. Тип слабости — CWE-367 (состояние гонки между проверкой и использованием)
- Расхождение оценок
- В рекомендации WordPress — Low, в записи CVE — High. Оценки даны разными сторонами, поэтому ни одна из них не является просто ошибочной. Мнение этого сайта: раз исправление доступно, обновление — верный приоритет даже для трудноэксплуатируемой уязвимости
Исправленные версии (по данным рекомендации)
| Ветка | Затронуты | Исправлено |
|---|---|---|
| 7.1 | 7.1.0–7.1.3 | 7.1.4 |
| 7.0 | 7.0.0–7.0.7 | 7.0.8 |
| 6.9 | 6.9.0–6.9.10 | 6.9.11 |
| 6.8 | 6.8.0–6.8.11 | 6.8.12 |
| 6.7 | 6.7.0–6.7.10 | 6.7.11 |
| 6.6 | 6.6.0–6.6.10 | 6.6.11 |
| 6.5 | 6.5.0–6.5.13 | 6.5.14 |
| 6.4 | 6.4.0–6.4.13 | 6.4.14 |
| 6.3 | 6.3.0–6.3.13 | 6.3.14 |
| 6.2 | 6.2.0–6.2.14 | 6.2.15 |
| 6.1 | 6.1.0–6.1.15 | 6.1.16 |
| 6.0 | 6.0.0–6.0.17 | 6.0.18 |
| 5.9–5.0 | до последнего релиза каждой ветки | 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31 |
| 4.9–4.7 | до последнего релиза каждой ветки | 4.9.35, 4.8.34, 4.7.39 |
Для 4.6 и более ранних версий рекомендация не указывает исправлений. Старые ветки не всегда обновляются сами, поэтому, если вы все еще используете одну из них, обновитесь вручную или запланируйте переход на поддерживаемый релиз.
Эксплуатация (по сообщениям прессы)
Это сведения из отчета поставщика защиты в пересказе прессы. В объявлении проекта WordPress об эксплуатации ничего не говорится.
- Кто наблюдал
- Поставщик защиты WordPress. Согласно SecurityWeek (30 октября), поставщик заявил, что эксплуатация началась в течение нескольких часов после выхода патчей
- Цифры
- Первое срабатывание нового правила межсетевого экрана произошло через девять минут после его развертывания, а за первые 21 час зафиксировано более 18 500 запросов к временным местам обновления
- Успешный взлом
- Поставщик о таком не сообщал
- Что нужно для атаки (пресса)
- Очень узкое окно, пока WordPress распаковывает обновление ядра с полным пакетом. По данным отчета, злоумышленники многократно опрашивают уязвимые пути, чтобы его поймать
- KEV
- Когда этот сайт 2 ноября 2026 года проверил каталог KEV CISA (последнее обновление каталога — 30 октября), CVE-2026-119977 в нем не было
Мнение этого сайта: отсутствие в KEV не означает безопасности. Зафиксировано число запросов, похожих на зондирование, об успешном взломе не сообщается, но исправлению всего несколько дней, и картина может измениться. Отставать скорее всего будут сайты с отключенными автообновлениями.
Что известно и что неизвестно
| Пункт | Что опубликовано | Статус |
|---|---|---|
| Уязвимость | Гонка при обновлении ядра с полным пакетом, которая может привести к RCE без аутентификации; исправлена в 7.1.4 (рекомендация WordPress) | Подтверждено (WordPress) |
| Затронутые версии | С 4.7 по 7.1.3 (запись CVE, рекомендация) | Подтверждено (WordPress, запись CVE) |
| Исправленные версии | 7.1.4 и исправления для всех веток вплоть до 4.7 (рекомендация) | Подтверждено (WordPress) |
| Серьезность | WordPress: Low (без балла). Запись CVE: CVSS v3.1 8,1 (High), высокая сложность атаки | Подтверждено (различается у разных оценщиков) |
| Номер CVE | CVE-2026-119977, опубликована 31 октября; в объявлении WordPress его нет | Подтверждено (запись CVE) |
| Запросы к уязвимости | Более 18 500 за первые 21 час (поставщик защиты, пресса) | Сообщено (поставщик защиты) |
| Успешный взлом | Поставщик о таком не сообщал | Не сообщалось |
| CISA KEV | На 2 ноября не внесена | Не внесена |
| Собственная оценка NVD | Пока не добавлена (статус: Received) | NVD пока не оценил |
Можно ли отложить обновление?
Согласно рекомендации, проблема возникает во время обновления ядра с полным пакетом. В официальных источниках нет более подробных сведений об условиях и о том, постоянно ли атакуют сайты, которые не обновились. Этот сайт не заполняет этот пробел догадками: исправление есть, поэтому быстро убедитесь, что ваша версия исправленная.
Если вы используете общий или управляемый хостинг WordPress
Одни тарифы обновляют ядро WordPress за вас, другие оставляют это вам. Это зависит от тарифа и договора, поэтому проверьте версию в админ-панели и прочитайте уведомление провайдера.
Что может делать провайдер (зависит от тарифа)
- Предоставлять автоматические обновления или инструмент обновления ядра в один клик
- При необходимости публиковать уведомление о своих действиях
Что делаете вы
- Проверьте на экране обновлений, что ваша версия исправленная
- Убедитесь, что автообновления не отключены, а если отключены — обновитесь вручную
- Читайте уведомления провайдера на его официальном сайте, а не по ссылкам из писем
- Поддерживайте в актуальном состоянии и плагины с темами
Во время обновления сайт может ненадолго стать недоступным. На некоторых серверах обновление не удается из-за прав на файлы или нехватки места на диске. В таком случае убедитесь, что можете восстановиться из резервной копии, и свяжитесь с провайдером.
Остерегайтесь поддельных писем от имени вашего провайдера
Когда об уязвимости пишут в новостях, чаще появляются письма от имени хостинг- или доменных провайдеров («обновитесь немедленно», «ваша учетная запись будет заблокирована»). Не входите по ссылкам из писем; проверяйте на официальном сайте, который вы сами добавили в закладки. Как их распознать, описано в статье что такое фишинг.
Мнение этого сайта: проблема не в кнопке обновления, а в обновлениях, которые остановились
Эта уязвимость была в самом процессе, призванном поддерживать безопасность сайта. Когда исправление вышло, остается риск на сайтах с отключенными автообновлениями, на сайтах, где никто не отвечает за обновления, и на сайтах, оставшихся на старых ветках. О расстановке приоритетов читайте в как расставлять приоритеты уязвимостей (CVSS, EPSS, KEV), а о действиях после раскрытия — в плейбуке реагирования на уязвимости.
Хронология
28 октября 2026
Проект WordPress выпускает 7.1.4, устраняющую уязвимость в процессе обновления, которая может привести к RCE, несколько проблем хранимого XSS и другие.29 октября
WordPress публикует рекомендацию по безопасности на GitHub: гонка при обновлении ядра с полным пакетом, исправление перенесено во все ветки вплоть до 4.7. В поле CVE указано «No known CVE».30 октября
Пресса сообщает, что у одного поставщика защиты WordPress первое срабатывание правила межсетевого экрана произошло через девять минут после его развертывания, а за первые 21 час зафиксировано более 18 500 запросов. Об успешном взломе не сообщается.31 октября
Wordfence в роли CNA публикует CVE-2026-119977, CVSS v3.1 8,1 (High). Статус в NVD: Received.2 ноября
Этот сайт проверяет объявление, рекомендацию, запись CVE и KEV. CVE в KEV не внесена.
Источники (открытые данные)
Проверено 2 ноября 2026 года. Сначала официальное объявление, затем сообщения прессы.
- Проект WordPress, «WordPress 7.1.4 Security Release» (28 октября 2026 года) — wordpress.org
- Рекомендация по безопасности WordPress на GitHub GHSA-4w3m-c66w-69mg, «A race condition during core updates that could lead to remote code execution» (29 октября 2026 года) — github.com
- CVE-2026-119977 (опубликована 31 октября 2026 года компанией Wordfence) — cve.org / nvd.nist.gov
- Каталог Known Exploited Vulnerabilities CISA (проверено 2 ноября на наличие этой CVE; данные обновлены 30 октября) — cisa.gov / JSON
- Пресса: SecurityWeek, «Fresh WordPress Vulnerability in Attackers' Crosshairs» (30 октября 2026 года) — securityweek.com
История обновлений
2026-11-02: первая версия, основанная на объявлении и рекомендации WordPress, записи CVE-2026-119977 и сообщении SecurityWeek. По состоянию на 2 ноября CVE в KEV не внесена.
Читайте дальше
- Был ли взлом вашего сайта: Как проверить, был ли взломан ваш сайт или сервер
- Укрепление WordPress: Безопасность WordPress
- Подготовка: Основы резервного копирования и восстановления / Чек-лист инвентаризации безопасности
- Еще одно критическое исправление в том же месяце: Две критические уязвимости PHP и экстренные исправленные релизы (октябрь 2026) / Проверка PHP, который реально запущен на сайте, после экстренного патча
- Термины: Что такое RCE (удаленное выполнение кода) / Что такое CVSS