Уязвимость в безопасности WordPress активно атакуется злоумышленниками в процессе обновления сайта. Компания в сфере кибербезопасности Wordfence заблокировала более 240 000 попыток эксплуатации по состоянию на 6 ноября, а американские регуляторы установили федеральным агентствам срок для установки исправления. Уязвимость, отслеживаемая как CVE-2026-119977, не зависит от слабых паролей или устаревших плагинов. Вместо этого она связана с тем, как WordPress обрабатывает определенные полные обновления программного обеспечения.

Во время таких обновлений WordPress кратковременно распаковывает установочные файлы в папку, доступную для публичного доступа. Это окно длится всего несколько секунд, но именно этот короткий момент пытаются перехватить атакующие.

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

Как работает атака

Атакующий, который получит доступ к этим файлам в нужный момент, может выполнить вредоносный код PHP. Ему не потребуется сначала входить на сайт, а слабые пароли или устаревшие плагины не играют никакой роли в эксплойте. Успешная атака может позволить установить бэкдоры, изменить содержимое сайта, создать несанкционированные аккаунты администратора или украсть конфиденциальную информацию. Уязвимости, не требующие учетных данных, относятся к наиболее серьезным классам веб-уязвимостей, поскольку привычные механизмы защиты входа — надежные пароли, двухфакторная аутентификация, поддержка плагинов в актуальном состоянии — вообще не задействуются.

Уязвимость имеет оценку степени опасности 8.1 из 10 по CVSS, что относит ее к категории высокого риска по стандартной шкале от 0 до 10. По данным Wordfence, она затрагивает версии WordPress с 4.7 по 7.1.3 — диапазон, охватывающий почти десятилетие релизов. Поскольку, по данным W3Techs, WordPress работает примерно на 39.5% всех сайтов мира, число потенциально уязвимых сайтов значительно — одна уязвимость в ядре программного обеспечения способна поставить блоги, СМИ и бизнес в один пул риска до установки исправлений.

Wordfence сообщает, что атакующие начали целенаправленно использовать уязвимость 28 октября — в тот же день, когда WordPress выпустил обновление безопасности. Во всей софтверной отрасли выпуск публичного исправления рассматривается как потенциальный стартовый сигнал для атакующих, поскольку патчи могут раскрывать устранимые слабости — одна из причин, по которой команды безопасности настаивают на немедленном обновлении, а не по обычному графику. Ранний мониторинг выявил более 18 500 подозрительных запросов примерно за 21 час, после чего их число стабильно росло. К 6 ноября брандмауэр Wordfence заблокировал более 240 000 попыток эксплуатации. Самым напряженным днем стало 30 октября, когда было заблокировано более 74 000 вредоносных запросов.

Исследователи также наблюдали, как атакующие многократно проверяли сайты в течение длительных периодов, по-видимому, ожидая, когда уязвимые сайты войдут в короткое окно обновления, в течение которого установочные файлы становятся общедоступными. Заблокированные запросы не означают подтвержденные взломы. Эксплуатация требует точного тайминга, что делает захват сайта значительно сложнее, чем отправка запроса. Тем не менее объем трафика свидетельствует о высокой заинтересованности атакующих.

Исправление, срок и советы для владельцев сайтов

WordPress выпустил версию 7.1.4 28 октября. Этот релиз исправляет уязвимость вместе с рядом других проблем безопасности, а патчи также доступны для более старых поддерживаемых веток, поэтому администраторы устаревших версий тоже могут установить исправления.

3 ноября Агентство США по кибербезопасности и защите инфраструктуры (CISA) добавило эту уязвимость в каталог Known Exploited Vulnerabilities — список, предназначенный для багов, подтвержденных как активно эксплуатируемые, — и предоставило федеральным гражданским агентствам срок до 6 ноября на ее устранение. Записи в каталоге носят обязательный, а не рекомендательный характер: согласно Binding Operational Directive 22-01 агентства CISA, федеральные гражданские агентства обязаны устранять внесенные в список уязвимости в установленный для каждого бага срок. CISA подтвердила, что уязвимость эксплуатируется в реальных условиях.

Исследователи также отметили подвох для сайтов, которые остаются уязвимыми. Поскольку старое необновленное ПО выполняет первый шаг обновления, сайт может оставаться уязвимым даже в момент установки исправления, устраняющего эту уязвимость. Wordfence рекомендует заблокировать веб-доступ к PHP-файлам в каталоге /wp-content/upgrade/ до начала обновления.

Компания уже добавила защиту брандмауэра для клиентов Premium, Care и Response, а пользователи бесплатного плагина получат такую же защиту 27 ноября. Администраторам предписано подтвердить завершение обновления, проверить журналы сервера и просмотреть аккаунты администраторов на предмет несанкционированных изменений.

Криптобизнес, работающий на WordPress, сталкивается с дополнительным риском, according to отчетам. Биржи, блокчейн-проекты и сайты криптоновостей могут столкнуться с изменением веб-сайта или внедрением фишинговых ссылок на их страницы. Уязвимость напрямую не затрагивает блокчейн-сети или кошельки, однако взломанный сайт все же может обмануть посетителей, побудив их подключить кошельки или одобрить ложные транзакции — напоминание о том, что для криптокомпаний сайт перед блокчейном является частью их операционной безопасности.

По состоянию на 6 ноября Wordfence заблокировала более 240 000 попыток эксплуатации уязвимости, и администраторов призывают установить WordPress 7.1.4, применить рекомендованную защиту каталогов и после этого проверить свои сайты. Даты в календаре — федеральный срок установки исправлений 6 ноября и развертывание защиты брандмауэра для пользователей бесплатного плагина 27 ноября — станут видимыми контрольными точками по мере развития ситуации, наряду с текущим счетчиком заблокированных попыток Wordfence.