Уязвимость в ядре WordPress (CVE-2026-119977): что нужно знать владельцам сайтов

В конце октября 2026 года WordPress выпустил срочное обновление безопасности — версию 7.1.4. Среди исправленных проблем одна особенно важная: уязвимость CVE-2026-119977 в самом ядре системы.

Что это такое простыми словами

Когда WordPress обновляется (полностью, «полным пакетом»), он временно распаковывает новую версию в папку `wp-content/upgrade/`. В затронутых версиях путь к этой папке был предсказуемым и доступен из интернета.

В короткое окно обновления злоумышленник без логина и пароля мог «поймать» момент и запустить установщик, получив возможность выполнить код на сервере.

Окно очень короткое (секунды), поэтому атака технически сложная. Тем не менее Wordfence зафиксировал сотни тысяч попыток, а американское агентство CISA внесло уязвимость в каталог активно используемых (KEV).

CISA (Cybersecurity and Infrastructure Security Agency) — это американское агентство по кибербезопасности и защите инфраструктуры, входит в состав Министерства внутренней безопасности США (DHS). Оно отвечает за защиту федеральных и критически важных объектов инфраструктуры, помогает организациям отражать кибератаки, распространяет информацию об угрозах и уязвимостях, а также координирует меры реагирования на инциденты в сфере кибербезопасности.

KEV (Known Exploited Vulnerabilities) — это каталог известных эксплуатируемых уязвимостей, который ведёт американское агентство CISA. В него включают только те уязвимости (с идентификаторами CVE), для которых есть подтверждённые свидетельства реальной эксплуатации злоумышленниками — то есть они уже используются в атаках. Главная цель KEV — помочь организациям расставить приоритеты при устранении уязвимостей: записи из этого каталога считаются критически срочными. Например, федеральные агентства США обязаны закрывать такие уязвимости в сжатые сроки (часто — в течение нескольких недель). Данные KEV общедоступны и могут интегрироваться в системы кибербезопасности для автоматического выявления самых опасных рисков.

Кого затрагивает

• WordPress с версии 4.7 по 7.1.3 (включая все промежуточные).
• Исправлено в 7.1.4 и соответствующих релизах старых веток (7.0.8, 6.9.11, 6.8.12 и т.д. вплоть до 4.7.39).

Если у вас включены автоматические обновления — скорее всего, сайт уже обновлён. Если обновления отключены или сайт давно не трогали — риск сохраняется.

WordPress 4.7 (кодовое имя Vaughan, в честь джазовой певицы Сары «Sassy» Вон) вышла 6 декабря 2016 года.

WordPress версии 7.1.3 вышел 6 октября 2026 года. По давней традиции, все крупные версии WordPress называют в честь известных джазовых музыкантов. Ветка 7.1 получила имя в честь американской джазовой пианистки, композитора и аранжировщицы Мэри Лу Уильямс (Mary Lou Williams).

Что делать прямо сейчас

• Проверьте версию WordPress (в админке → Обновления или через `wp core version` по SSH).
• Обновитесь до 7.1.4 или последней патч-версии вашей ветки.
• Дополнительная мера: запретите веб-доступ к папке `wp-content/upgrade/` на уровне сервера (nginx/Apache). Это закрывает окно даже на время самого обновления. Например: `RewriteRule ^wp-content/upgrade/ - [F,L]`.
• После обновления имеет смысл просмотреть логи на запросы к `setup-config.php` внутри `wp-content/upgrade/` и проверить список пользователей/плагинов на неожиданные записи.

Почему это важно

WordPress стоит на огромном количестве корпоративных сайтов, интернет-магазинов и лендингов. Даже если успешная эксплуатация этой конкретной дыры сложна, сам факт активных попыток и попадания в каталог CISA означает, что злоумышленники не спят.

Устаревшее ядро — это открытая дверь не только для этой уязвимости, но и для следующих.

WordPress остается самой популярной CMS в мире, занимая около 40% от общего числа всех существующих сайтов и около 58–59% рынка среди сайтов с установленным движком (данные W3Techs на конец 2026 года). При этом в 2026 году аналитики фиксируют небольшое снижение доли (с пиковых 43,6% в 2025 году), главным образом из-за роста числа сайтов вообще без распознаваемой CMS или на кастомном коде.

Мы готовы помочь

Регулярные обновления ядра, плагинов и темы, плюс базовый мониторинг и резервные копии — минимальный стандарт для любого рабочего сайта. Если у вас нет времени следить за обновлениями, проверять логи или уверенности, что всё сделано правильно и безопасно — обратитесь к нашим специалистам по поддержке.

Мы быстро проверим текущую версию WordPress, поможем обновиться, настроим защиту папки обновлений и возьмём сайт на сопровождение, чтобы такие ситуации больше не отвлекали вас от бизнеса.