Критическая уязвимость в WordPress может позволить злоумышленникам получить контроль над сайтами без входа в систему, согласно отчёту Hokanews. Уязвимость затрагивает версии с 4.7 по 7.1.3 и связана с коротким окном в процессе обновления платформы, когда её установщик временно становится доступен через публичную папку.

По данным, предоставленным Coin Bureau, на WordPress работает 39,5% всех сайтов в интернете — то есть примерно четыре сайта из десяти используют одно и то же базовое программное обеспечение. Такой масштаб придаёт обнаруженной слабости потенциально широкий охват, поскольку речь идёт о собственном процессе обновления платформы, а не об отдельном плагине или теме. Основная обеспокоенность связана с возможностью того, что злоумышленники могут выполнить собственный код непосредственно на сервере сайта во время полного обновления — результат, способный обернуться несанкционированным контролем над самим сайтом.

Как работает уязвимость

Во время полного обновления WordPress платформа ненадолго размещает свой установщик в общедоступной папке. По данным Coin Bureau, злоумышленник, который доберётся до этого места в течение короткого окна, сможет выполнить свой код на сервере. Поскольку уязвимое состояние существует только пока идёт обновление, риск привязан к этому временному периоду, а не к постоянно открытой точке входа.

Для использования уязвимости злоумышленнику не требуется входить в затронутый сайт на WordPress. Вместо этого атака использует временную доступность, возникающую в процессе обновления, что потенциально позволяет получить несанкционированный контроль над сайтом.

Уязвимость затрагивает все версии WordPress с 4.7 по 7.1.3. По данным, приведённым Coin Bureau, этот диапазон охватывает почти 10 лет релизов, начиная с декабря 2016 года. Столь широкий диапазон включает установки самой разной давности, а не только самые свежие версии.

Wordfence отмечает уязвимость CVE-2026-119977

Компания Wordfence, специализирующаяся на безопасности, обнаружила проблему, которая теперь отслеживается под идентификатором CVE-2026-119977. Обозначение CVE — это стандартная система идентификаторов, используемая для каталогизации публично раскрытых уязвимостей в ПО; она даёт исследователям и владельцам сайтов общую точку отсчёта для одной и той же уязвимости. Проблема также вызвала активность со стороны средств защиты фаерволом: Wordfence зафиксировала первую блокировку всего через девять минут после включения защиты.

Заявленные сроки указывают на то, что фаервол начал блокировать активность, связанную с уязвимостью, вскоре после активации защиты. Однако в отчёте не указано число попыток атак и количество сайтов, которые могли быть затронуты. Эти два показателя остаются главными открытыми вопросами вокруг уязвимости, поскольку они показали бы, сколько внимания она привлекла на практике.

Поскольку в заявленный диапазон затронутых версий входят версии с 4.7 по 7.1.3, уязвимость касается широкого спектра релизов WordPress. Конкретной слабостью, описанной в отчёте, является временное раскрытие установщика во время полных обновлений.

Автор оригинального отчёта — Виктория Хейл, автор статей о технологиях и блокчейне в Hokanews.