Серьёзная уязвимость в ядре WordPress CVE-2026-119977

Сообщаем о серьёзной уязвимости в ядре WordPress — CVE-2026-119977. Если на вашем хостинге или сервере работает WordPress, просим как можно скорее проверить версию и обновиться.

ЧТО ПРОИЗОШЛО
В механизме обновления ядра WordPress найдена ошибка типа «состояние гонки» (race condition). В момент, когда сайт обновляется, злоумышленник без авторизации может успеть выполнить на сервере произвольный код и получить полный контроль над сайтом.

Оценка опасности — CVSS 8.1 (высокая). Уязвимость уже используется в реальных атаках: 3 ноября она внесена в каталог активно эксплуатируемых уязвимостей CISA (KEV), фиксируется массовое сканирование сайтов.

КАКИЕ ВЕРСИИ ЗАТРОНУТЫ
Все версии WordPress с 4.7 по 7.1.3 включительно.

БЕЗОПАСНЫЕ ВЕРСИИ
• 7.1.4 — актуальная, рекомендуем именно её
• 7.0.8 — для ветки 7.0
• 6.9.11 — для ветки 6.9
• исправленные выпуски вплоть до ветки 4.7 (4.7.39)

Версии 4.6 и старше исправлений не получат — такие сайты нужно обновлять до актуальной версии или выводить из эксплуатации.

ЧТО НУЖНО СДЕЛАТЬ
1. Зайдите в админку каждого сайта: «Консоль → Обновления» и проверьте версию. Не полагайтесь на автообновление — оно могло не сработать (отключено, ошибка прав, переопределено плагином).
2. Перед обновлением сделайте резервную копию файлов и базы данных.
3. Обновите WordPress до 7.1.4 (или до исправленной версии вашей ветки) и убедитесь, что номер версии действительно сменился.
4. Обновите также плагины и темы.
5. Если ваш сайт обслуживает сторонний разработчик — перешлите ему это письмо.

ДЛЯ ВЛАДЕЛЬЦЕВ VPS И ВЫДЕЛЕННЫХ СЕРВЕРОВ
Дополнительно рекомендуем запретить веб-доступ к каталогу wp-content/upgrade/ на уровне веб-сервера, например:

nginx:

location ^~ /wp-content/upgrade/ { deny all; }

Apache/LiteSpeed (.htaccess в корне сайта):

RewriteRule ^wp-content/upgrade/ - [F,L]

Также проверьте каталог wp-content/upgrade/ на наличие посторонних .php-файлов.

Чем раньше сайт будет обновлён, тем меньше шансов, что им успеют воспользоваться злоумышленники!

www.hothat.ru