Ing. Calogero Bono
WordPress 7.1.4 — это релиз безопасности, вышедший 28 октября, и он включает исправление уязвимости, которая позволяет выполнить код на сервере во время обновления ядра. Агентство CISA (Агентство по кибербезопасности и инфраструктуре США) подтвердило, что уязвимость CVE-2026-119977 эксплуатируется и добавлена в каталог KEV. Это важно, потому что для атаки не нужен аккаунт на сайте. Если ты управляешь сайтами на WordPress, откладывать обновление нельзя.
Несколько терминов, прежде чем перейти к фактам. CVE — код, по которому идентифицируется известная уязвимость. TOCTOU (time-of-check time-of-use) — race condition, то есть дефект, при котором что-то меняется между проверкой и использованием ресурса. RCE означает удалённое выполнение кода. KEV — каталог CISA уязвимостей, эксплуатация которых доказана. XSS stored — вредоносный скрипт, сохранённый на сайте и показываемый посетителям.
Что представляет собой уязвимость CVE-2026-119977?
Согласно официальному сообщению WordPress, это слабость в процессе обновления, которая может привести к удалённому выполнению кода во время окна обновления. Уязвимость нашёл Умут Баерам (Umut Bayram), исследователь из Picus Security.
Как пишет BleepingComputer, проблема возникает из-за использования предсказуемых путей staging, доступных из интернета, во время полных обновлений ядра. Серьёзность высокая – оценка CVSS 8.1 по данным The Hacker News, а сложность атаки оценивается как высокая.
Насколько уязвимость реально используется?
CISA добавила уязвимость в каталог KEV и приказала гражданским федеральным агентствам исправить её до 6 ноября 2026 года. Агентство также призвало частные компании ставить патч в приоритет.
Цифры получены от Wordfence, то есть это заявления компании по безопасности. BleepingComputer сообщает о 13 095 заблокированных атаках за 24 часа. The Hacker News упоминает более 18 500 запросов к путям «setup-config.php» за первые 21 час и 12 632 заблокированные атаки за другое 24-часовое окно. Previdian зафиксировала три попытки против своей honeypot 30 октября.
Что ещё исправляет WordPress 7.1.4?
Релиз не ограничивается обновлением. Официальный список включает несколько XSS stored в блоках и функциях ядра.
- блок Categories, блоки Playlist и изображение, блоки пагинации комментариев
- Interactivity API, с несколькими XSS и случаем denial of service
- Customizer, с одной XSS и обнаружением неопубликованных changeset анонимными пользователями
- запросы на удаление персональных данных и специально подготовленные имена пользователей
Также исправлены чтение заметок привилегированными пользователями без прав на редактирование и корневые сертификаты, обновлённые из-за отзыва eMudhra.
Почему 2026 год тяжёлый для ядра WordPress?
По данным BleepingComputer, в июле команда безопасности исправила цепочку wp2shell, состоящую из путаницы в маршрутах batch REST API (CVE-2026-63030) и SQL injection (CVE-2026-60137). Публичные эксплойты появились через день после патчей.
В сентябре китайскоязычный злоумышленник использовал эту цепочку, чтобы похитить данные из более чем 18 500 записей баз данных небольших компаний и государственных организаций. Этот прецедент показывает, насколько короткое время между патчем и атакой. Для более глубокого понимания наше руководство по безопасности WordPress объясняет базовые меры защиты.
Ограничения, о которых стоит знать
Неизвестно, кто стоит за атаками и сколько сайтов было скомпрометировано. CISA не предоставила подробностей об эксплуатации, а данные о заблокированных атаках получены от Wordfence, и временные окна в разных источниках отличаются. Исправления для старых веток, до 4.7, ещё в пути и выйдут, когда будут готовы.
Что меняется для тех, кто работает с цифровыми сервисами
Обнови сразу до 7.1.4 через раздел «Обновления» на панели управления, если автоматическое обновление ещё не запустилось. Если у тебя нет порядка действий, наша стратегия обновления без поломки сайта — хорошая отправная точка. Тем, кто ведёт много сайтов для клиентов, стоит проверить и те, о которых забыли. Файрвол, как те, что сравниваются в руководстве по плагинам безопасности, помогает, но патч не заменяет.
Наше мнение
Самое неприятное то, что уязвимость бьёт именно по механизму, с помощью которого нужно защищаться. Обновление — это защита, но во время обновления открывается окно риска. Хорошая новость — быстрая реакция команды безопасности. Плохая — темп 2026 года – цепочка эксплойтов в июле и ещё одна уязвимость, эксплуатируемая в октябре. Кто воспринимает обновления как дело, которое делается, когда будет время, ставит против статистики.
Частые вопросы
Что исправляет WordPress 7.1.4?
Устраняет уязвимость выполнения кода в процессе обновления и несколько XSS stored. Также включает исправление случая denial of service и обновление корневых сертификатов.
Нужен ли аккаунт для уязвимости CVE-2026-119977?
Нет. По данным Wordfence, на которые ссылаются источники, аккаунт не нужен. Однако атакующему нужно использовать короткое окно во время полного обновления ядра.
Когда выходит WordPress 7.2?
Ожидается 8 декабря. Бета 3 уже доступна и содержит применимые исправления.
Получают ли патч старые версии?
Частично. Исправления переносятся (backport) во все подходящие ветки до 4.7 и выйдут, когда будут готовы. WordPress напоминает, что активно поддерживается только последняя версия.
Относится ли правило CISA к компаниям из Италии?
Нет, срок 6 ноября касается только федеральных агентств США. Но CISA призывает и частный сектор ставить патч в приоритет.
Что отслеживать в ближайшие недели по WordPress
Патч уже доступен, но внимание переходит к старым веткам и бете 7.2. Самый рискованный период — когда эксплойт циркулирует, а сайты не обновлены.
- Проверяй выход backport для старых версий, которые ты ещё используешь, и планируй миграцию.
- Смотри логи сервера на запросы к путям установки вроде setup-config.php.
- Читай заметки к Beta 3 и к 7.2, которая ожидается 8 декабря, прежде чем обновлять продакшен.
