Уязвимость WordPress CVE-2026-119977: как безопасно обновить сайт

1. Что случилось
2. В чём суть уязвимости
3. Кого это касается
4. Как безопасно обновиться
5. Если WordPress старше 4.7
6. Как мы обновили сайты клиентов

Что случилось

28 октября 2026 года команда WordPress выпустила версию 7.1.4. Это срочный выпуск безопасности: в нём закрыто больше десяти проблем, и разработчики советуют обновить сайты немедленно.

Самая опасная из них получила номер CVE-2026-119977 и оценку 8,1 из 10 по шкале CVSS. Через неё злоумышленник без логина и пароля может выполнить на сервере свой код, то есть получить полный контроль над сайтом: подменить страницы, украсть данные клиентов, заразить посетителей.

Попытки атак начались почти сразу. По данным компании Wordfence, первые запросы к уязвимым адресам пришли через несколько часов после выхода исправления, а за первые сутки их было больше 18 тысяч. 3 ноября американское агентство кибербезопасности CISA внесло уязвимость в свой каталог уязвимостей, которые активно используют злоумышленники.

В чём суть уязвимости

Это ошибка типа «состояние гонки» в механизме обновления ядра. Когда WordPress обновляется полным пакетом, он распаковывает новую версию во временную папку внутри wp-content/upgrade/. Путь к этой папке можно угадать, и она открыта из браузера. Пока идёт обновление, а это несколько секунд, злоумышленник может успеть обратиться к файлам новой версии, в том числе к установщику, и запустить свой код.

Получается парадокс: сайт уязвим не всё время, а именно в момент обновления. Поэтому атакующие часами опрашивают одни и те же сайты, дожидаясь начала обновления. Обновления плагинов и тем эту ошибку не затрагивают, речь только о ядре WordPress.

Кого это касается

Уязвимы все версии WordPress с 4.7 по 7.1.3. Исправления вышли для каждой поддерживаемой ветки:

• 7.1: версия 7.1.4, она же актуальная;
• 7.0: версия 7.0.8;
• 6.9: версия 6.9.11;
• более старые ветки, вплоть до 4.7, тоже получили свои исправленные выпуски, например 6.8.12, 5.9.20 и 4.7.39;
• 4.6 и старше: исправлений нет.

Сайтов на 1С-Битрикс эта уязвимость не касается: ошибка есть только в WordPress.

Как безопасно обновиться

1. Проверьте версию в админке: «Консоль → Обновления». Не полагайтесь на автообновление: оно может быть отключено или не сработать из-за прав на файлы или настроек плагина.
2. Закройте доступ к папке обновлений на сервере, лучше до запуска обновления. Тогда атака не сработает даже в момент обновления. Как это сделать, показано ниже.
3. Сделайте резервную копию файлов и базы данных.
4. Обновите WordPress до 7.1.4 или до исправленной версии своей ветки и убедитесь, что номер версии действительно сменился. Заодно обновите плагины и темы.
5. Проверьте папку wp-content/upgrade/: в ней не должно остаться посторонних PHP-файлов. Посмотрите и список пользователей: нет ли новых администраторов, которых вы не создавали.

Если WordPress старше 4.7

Для версий 4.6 и старше исправления не выйдет. Такой сайт нужно обновлять до актуальной версии или переносить на новую платформу. Скорее всего, вместе с WordPress придётся обновить и PHP на сервере: старые версии PHP тоже давно не получают исправлений, об этом мы писали в статье о критической уязвимости PHP.

Как мы обновили сайты клиентов

Мы поддерживаем не только сайты на 1С-Битрикс, но и на WordPress. Клиентам на поддержке ничего делать не пришлось: мы оперативно обновили их сайты до версии 7.1.4 сами, не дожидаясь обращений.

Если ваш сайт на WordPress не на поддержке и вы не уверены, что он обновился, посмотрите, как устроена наша поддержка, или оставьте заявку: проверим версию WordPress, плагины и настройки сервера.

Источники: анонс WordPress 7.1.4, описание CVE-2026-119977 в NVD, каталог CISA.