WordPress
6 статей с этим тегом
Уязвимость WordPress 7.1.4 CVE-2026-119977: исправлена гонка при обновлении ядра, которая может привести к удаленному выполнению кода. Проверьте версию и автообновления
28 октября 2026 года проект WordPress выпустил релиз безопасности 7.1.4, который устраняет уязвимость в процессе обновления ядра, способную привести к удаленному выполнению кода. Согласно рекомендации WordPress на GitHub, при обновлении ядра с полным пакетом WordPress распаковывал новые файлы в предсказуемый каталог внутри доступной из веба папки обновления, и неаутентифицированный злоумышленник, выигравший гонку с этой распаковкой, мог добиться удаленного выполнения кода (RCE). Исправление вошло в 7.1.4 и перенесено во все ветки вплоть до 4.7 (7.0.8, 6.9.11, 6.8.12 и так далее). CVE-2026-119977 опубликована 31 октября компанией Wordfence в роли CNA и оценена по CVSS v3.1 в 8,1 (High) при высокой сложности атаки; в рекомендации WordPress она оценена как Low, без балла. По данным SecurityWeek, первое срабатывание правила межсетевого экрана у одного поставщика защиты WordPress произошло через девять минут после его развертывания, а за первые 21 час было зафиксировано более 18 500 запросов к временным местам обновления; об успешном взломе поставщик не сообщал. CISA внесла эту CVE в свой каталог Known Exploited Vulnerabilities (KEV) 3 ноября (запись KEV устанавливает для федеральных агентств США срок 6 ноября, и помимо установки исправления CISA требует от них провести криминалистический первичный анализ по BOD 26-04). Сайты с автоматическими фоновыми обновлениями обновятся сами; на сайтах с отключенными автообновлениями обновление нужно запустить вручную на экране «Обновления». Вывод этого сайта: считайте уязвимость эксплуатируемой, обновитесь сегодня, а если обновились поздно, проверьте сайт на признаки взлома (совет этого сайта).
[Срочно] Уязвимости PHP CVE-2026-109618 и CVE-2026-109619 уже эксплуатируются и добавлены в каталог KEV CISA. Обновите до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 немедленно
21 октября 2026 года команда безопасности PHP выпустила PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые устраняют две критические уязвимости, позволяющие выполнять удаленный код без аутентификации (RCE), и призвала всех пользователей немедленно обновиться. CVE-2026-109618 связана с обработкой нехватки памяти, CVE-2026-109619 связана с устаревшим внутренним состоянием, сохраняющимся между запросами; обе оценены в 9,2 по CVSS v4.0. Под угрозой находятся все установки PHP, обрабатывающие веб-запросы (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). Команда считает mod_php наиболее опасным вариантом, ссылаясь на продемонстрированный эксплойт, в котором запрос без аутентификации запускает атаку до выполнения какого-либо кода приложения. Официальных обновлений для PHP 8.1 и более старых версий не выпущено; команда предоставила минимальные бэкпорты исходного кода для 7.4, 8.0 и 8.1. Дистрибутивы Linux получили патчи заранее. Полного способа защиты нет, обновление — единственный безопасный вариант. 22 октября IPA и JPCERT/CC Японии выпустили предупреждения, а JVN опубликовала JVNVU#99905564. CISA, которая не наблюдала эксплуатацию на момент первой публикации своего предупреждения, 26 октября добавила обе уязвимости в каталог Known Exploited Vulnerabilities (KEV) и установила для федеральных гражданских ведомств США срок до 29 октября. По сообщениям СМИ, на honeypot-системах исследователя безопасности с неисправленным PHP 8.4.26 под mod_php 24 октября было зафиксировано успешное удаленное выполнение кода. Honeypot-системы крупного облачного провайдера фиксировали попытки эксплуатации начиная с 17 октября, за четыре дня до раскрытия. Насколько удалось установить этому сайту, по состоянию на 27 октября ни один взлом за пределами honeypot-систем не был обнародован. Большинство крупных японских провайдеров общего хостинга сообщили, что исправление применено, однако некоторые, например KAGOYA, этого не сделали. 23 октября команда PHP раскрыла третью проблему (CVE-2026-115560), которую выпуски от 21 октября не устраняют. Она может привести к выполнению кода только при определенном сочетании конфигурации и кода приложения; команда считает такой сценарий маловероятным на практике, исправление и полное описание выйдут со следующим регулярным релизом, а до тех пор рекомендуется установить session.upload_progress.enabled=0. Затронутые версии и оценка CVSS не опубликованы, сообщений об эксплуатации нет. По состоянию на 29 октября (проверено на php.net) исправленный релиз для этой проблемы еще не вышел. 28 октября CISA также внесла уязвимость ядра Linux CVE-2026-46300 в KEV (срок для федеральных ведомств США — 31 октября) и сообщила, что её можно использовать в цепочке с этими двумя уязвимостями, чтобы внедрять PHP-веб-шеллы и выполнять команды с правами root. Мнение этого сайта: эксплуатация теперь подтверждена, поэтому выясните, обновляете ли PHP для каждого сайта вы или ваш провайдер, и перейдите на исправленную версию сегодня. Также проверьте логи с 17 октября и далее на признаки взлома. На общем хостинге проверьте уведомление провайдера о завершении работ на его официальном сайте.
Rank Math PRO 3.0.123 распространялся с вредоносным кодом (октябрь 2026): кто затронут и что делать владельцам сайтов на WordPress
16 октября 2026 года (UTC) Rank Math сообщила, что Rank Math PRO v3.0.123, платная версия плагина для WordPress, содержала вредоносный код у ограниченного числа пользователей, которые скачали его в период с 20:02 UTC 15 октября по 07:12 UTC 16 октября. Вредоносный код мог скомпрометировать сайт, если плагин был активирован, и мог восстанавливать свою скрытую закладку при каждом посещении сайта. Компания удалила затронутые файлы и выпустила чистую версию v3.0.124. Бесплатная версия, распространяемая через WordPress.org, не затронута. Ни число затронутых пользователей, ни способ, которым вредоносный код попал в файлы, не раскрыты. По состоянию на 20 октября последнее изменение в уведомлении было внесено 19 октября: добавлена заметка о том, что бесплатная версия не затронута. Вывод этого сайта: считать скомпрометированным любой сайт, на котором была активирована копия 3.0.123, полученная в затронутый период, и либо восстановить его из резервной копии, сделанной до этого периода, либо удалить всю папку плагина и очистить сайт в порядке, который указывает компания. В любом случае смените все учетные данные, к которым сайт мог иметь доступ.
Несанкционированный доступ к некоторым веб-серверам ConoHa WING (GMO Internet) (426 аккаунтов): затронуты данные в областях веб-серверов клиентов, что делать владельцам сайтов уже сегодня
20 сентября 2026 года GMO Internet, Inc. объявила, что на некоторых хостинг-серверах (веб-серверах) её сервиса аренды хостинга ConoHa WING третья сторона получила несанкционированный доступ к областям веб-серверов некоторых клиентов и установила вредоносную программу. Затронуты 426 аккаунтов, а речь идёт о «данных, хранящихся в областях веб-серверов клиентов». Доступ и установка начались 3 сентября; компания обнаружила их 16 сентября, а 18 сентября установила причину и масштаб и удалила программы. Компания говорит, что установила причину, но не раскрыла её. По её словам, данные участников, договоров и платежей хранятся в отдельной среде и не утекли. В уведомлении не сказано, были ли похищены данные в областях веб-серверов. Затронутым клиентам писали индивидуально на зарегистрированный адрес электронной почты; те, с кем не связались, не затронуты. По состоянию на 15 октября последующего уведомления не было. Мнение этого сайта: сначала проверьте, пришло ли вам индивидуальное письмо, и если пришло, следуйте его инструкциям. Затем считайте учётные данные, хранящиеся в вашей области веб-сервера (пароль к базе данных в wp-config.php, ключи API в .env и т. д.), прочитанными посторонними и смените их, а также проверьте файлы, администраторов и запланированные задания, добавленные после 3 сентября.
Как проверить, не взломан ли ваш сайт или сервер: пошаговые проверки для виртуального хостинга, WordPress и VPS и что делать в первую очередь, если вы что-то нашли
Проверка сайта на вторжение — это внешние признаки и следы внутри. Признаки: отчёт «Security issues» (Проблемы безопасности) в Search Console, пометка «This site may be hacked» (Этот сайт может быть взломан) в поиске, уведомление от хостинга, незнакомые администраторы, перенаправления только на мобильных или только из поиска. Следы: администраторы, изменённые файлы ядра (wp core verify-checksums), история входов, authorized_keys, cron, прослушиваемые порты, недавно изменённые файлы. Позиция этого сайта: если вы ничего не нашли, это не доказывает, что всё чисто. Если нашли, сохраните улики до очистки, смените все учётные данные с чистого устройства, восстановитесь из резервной копии, сделанной до вторжения, или пересоберите сервер, закройте точку входа и только потом запрашивайте проверку.
Безопасность WordPress — практическая референс-инструкция по хардненингу продакшна
У WordPress крупнейшая доля, поэтому он и крупнейшая цель, но пути проникновения предсказуемы (уязвимости плагинов/тем, пропущенные обновления, слабые администраторы, открытые панели администрирования). Это рабочий референс: (1) приоритетный чек-лист хардненинга (P0–P2), (2) руководство по областям — автообновления, минимизация плагинов/тем, надёжный администратор + 2FA, снижение открытости админки (xmlrpc/перечисление через REST/редактирование файлов), wp-config и секреты, права на файлы, HTTPS/резервные копии, обновление PHP/зависимостей, и (3) чек-лист самопроверки. Только защита — без шагов атаки.