2026-11-02
Уязвимость WordPress 7.1.4 CVE-2026-119977: исправлена гонка при обновлении ядра, которая может привести к удаленному выполнению кода. Проверьте версию и автообновления
28 октября 2026 года проект WordPress выпустил релиз безопасности 7.1.4, который устраняет уязвимость в процессе обновления ядра, способную привести к удаленному выполнению кода. Согласно рекомендации WordPress на GitHub, при обновлении ядра с полным пакетом WordPress распаковывал новые файлы в предсказуемый каталог внутри доступной из веба папки обновления, и неаутентифицированный злоумышленник, выигравший гонку с этой распаковкой, мог добиться удаленного выполнения кода (RCE). Исправление вошло в 7.1.4 и перенесено во все ветки вплоть до 4.7 (7.0.8, 6.9.11, 6.8.12 и так далее). CVE-2026-119977 опубликована 31 октября компанией Wordfence в роли CNA и оценена по CVSS v3.1 в 8,1 (High) при высокой сложности атаки; в рекомендации WordPress она оценена как Low, без балла. По данным SecurityWeek, первое срабатывание правила межсетевого экрана у одного поставщика защиты WordPress произошло через девять минут после его развертывания, а за первые 21 час было зафиксировано более 18 500 запросов к временным местам обновления; об успешном взломе поставщик не сообщал. Этот сайт проверил каталог Known Exploited Vulnerabilities (KEV) CISA 2 ноября, и этой CVE там нет. Сайты с автоматическими фоновыми обновлениями обновятся сами; на сайтах с отключенными автообновлениями обновление нужно запустить вручную на экране «Обновления». Вывод этого сайта: проверьте версию и, если автообновления не работают, обновитесь вручную сегодня.