В WordPress обнаружили уязвимость, которая позволяет злоумышленникам без учётной записи выполнить произвольный PHP-код на сервере. Атакующие начали проверять сайты на возможность эксплуатации всего через несколько минут после появления защитного правила.
Уязвимость получила идентификатор CVE-2026-119977 и оценку 8,1 балла по шкале CVSS. Проблема затрагивает WordPress Core версий от 4.7 до 7.1.3. Разработчики закрыли брешь в выпуске WordPress 7.1.4 от 28 октября, одновременно подготовив исправления для поддерживаемых старых веток.
Исследователи компании Wordfence зафиксировали более 18 500 подозрительных запросов за первые 21 час наблюдения. Первое срабатывание защитного правила произошло всего через девять минут после его публикации 28 октября. Такая активность указывает на быстрый интерес злоумышленников к новой уязвимости, однако количество запросов не означает, что атакующим удалось взломать 18 500 сайтов. Wordfence не сообщила о подтверждённых случаях успешной эксплуатации.
Ошибка связана с механизмом обновления WordPress. Когда система устанавливает полную версию пакета обновления, она сначала распаковывает файлы во временный каталог внутри wp-content/upgrade. Среди временных файлов находится установщик WordPress, который при определённых настройках веб-сервера оказывается доступен извне и может выполнять PHP-код.
Злоумышленнику не требуется предварительно получать учётную запись администратора. Достаточно обнаружить временный каталог и обратиться к установщику в тот короткий промежуток, пока WordPress распаковывает обновление. Исследователи оценили продолжительность уязвимого окна в несколько секунд. После завершения операции система удаляет временные файлы, поэтому атакующему приходится постоянно проверять доступность нужного пути.
Wordfence обнаружила признаки автоматизированных атак. Два наиболее активных источника непрерывно проверяли небольшие группы сайтов примерно 14,5 часа. Другие злоумышленники экспериментировали с различными вариантами имён временных каталогов и версиями установщика. Подобное поведение соответствует попыткам поймать короткое окно уязвимости во время обновления.
В WordPress 7.1.4 разработчики изменили механизм подготовки временных файлов. Система теперь использует случайное имя каталога вместо предсказуемого пути, добавляет дополнительную защиту от прямого доступа и блокирует небезопасное перемещение временных конфигурационных данных. Исправление также перенесли в более старые ветки WordPress, начиная с версии 4.7.
Для уязвимости подготовили исправления в 25 выпусках. В зависимости от установленной ветки администраторам следует перейти на WordPress 7.1.4, 7.0.8, 6.9.11, 6.8.12 или соответствующую исправленную версию более старой ветки. WordPress 4.6 и более ранние версии уже не получают обновлений безопасности, поэтому владельцам таких сайтов придётся перейти на поддерживаемую версию.
Выпуск 7.1.4 закрывает не только проблему удалённого выполнения кода, но и другие уязвимости. Всего обновление устраняет 22 проблемы безопасности, включая несколько вариантов межсайтового скриптинга (XSS), ошибки контроля доступа, раскрытие информации и уязвимости в API взаимодействия с блоками редактора. Некоторые из них требуют наличия учётной записи с определёнными правами, тогда как критическая проблема с механизмом обновления не предполагает аутентификации.
Wordfence выпустила защитное правило для платных пользователей 28 октября. Владельцы бесплатной версии получат аналогичную защиту только 27 ноября, поскольку компания распространяет правила для бесплатных пользователей с задержкой в 30 дней. Для работы защиты от прямых обращений к временным PHP-файлам необходимо включить режим Extended Protection, при котором межсетевой экран проверяет запрос до передачи управления запрошенному файлу.
Специалисты также рекомендуют временно запретить обращения извне к каталогу wp-content/upgrade на уровне веб-сервера или другого инфраструктурного компонента перед запуском обновления. Такая мера особенно полезна администраторам, которые не располагают подходящей защитой на уровне межсетевого экрана WordPress. После обновления стоит проверить журналы доступа на предмет подозрительных обращений к временным установочным файлам, а также поискать неизвестные учётные записи администратора и посторонние PHP-файлы.
Администраторам сайтов на WordPress следует проверить установленную версию и установить соответствующее исправление, не полагаясь исключительно на автоматическое обновление. Быстрое появление автоматизированных запросов показывает, что злоумышленники внимательно отслеживают свежие исправления и начинают искать способы эксплуатации практически сразу после публикации сведений об уязвимостях.
