В WordPress закрыли опасную дыру в обновлении — проверьте версию сайта

Коротко. 28 октября WordPress выпустил защитный выпуск 7.1.4: закрыта дыра, через которую во время полного обновления ядра злоумышленник без пароля мог выполнить код на сервере. WordPress просит обновить сайты сразу. После патча фиксируют массовые попытки атак. Подтверждённых взломов в официальных источниках нет — ждать не стоит.

Касается ли это вас.

• Да, если сайт на WordPress на обычном хостинге и версия ниже исправляющей (для линейки 7.1 — ниже 7.1.4).
• Скорее всего нет, если сайт на WordPress.com или хостинг сам обновляет ядро — лучше спросить подтверждение.
• Не знаете — признак: /wp-admin/ открывает вход в WordPress. Спросите того, кто делал сайт, или хостинг.

Чем грозит. В худшем случае — захват сайта: подмена страниц, вредонос для посетителей, доступ к данным. Щель открывается на короткое время при полном обновлении ядра — заранее не проверить, ваш ли случай. Из‑за этого обновление не откладывают: пока стоит старая версия, каждое следующее обновление снова открывает окно; после 7.1.4 (или бэкпорта) дыра закрыта.

Что сделать в первую очередь (сегодня).

1. Есть вход: «Консоль → Обновления». Для линейки 7.1 нужна 7.1.4 или выше (7.1.3 — уязвима, 7.1.4 — исправлена). Есть кнопка обновления — сначала копия сайта и базы в панели хостинга, затем «Обновить сейчас».
2. Версия не из линейки 7.1 — обновите до последнего выпуска своей ветки или до актуальной; номера — в готовом тексте и в версии для айтишника.
3. Нет входа — перешлите готовый текст тому, кто ведёт сайт, или в поддержку хостинга.

Получилось, если на «Обновлениях» видна 7.1.4 (или исправляющий номер своей ветки) и сайт открывается. Не получилось — ничего с форумов не ставьте, пишите хостингу или разработчику.

Что сделать во вторую очередь (на этой неделе).

1. В «Настройки → Общие» укажите свою рабочую почту — туда пишут о сбоях автообновления.
2. На «Обновлениях» проверьте автообновления. Не считайте, что «само обновилось», пока не сверили номер.
3. Уберите бывших подрядчиков из администраторов («Пользователи»).

Если сразу не получается.

• Поручите обновление хостингу или разработчику — перешлите готовый текст.
• Плагины-«щиты» риск снижают, но не заменяют обновление. Официальных обходных мер WordPress не дал.

Готовый текст для поддержки или разработчика.

Здравствуйте! 28 октября 2026 WordPress выпустил защитный выпуск 7.1.4 (и бэкпорты по веткам). Среди прочего закрыта уязвимость процесса полного обновления ядра, через которую без входа возможно удалённое выполнение кода в окне обновления (CVE-2026-119977 по данным Wordfence; в анонсе WordPress номера нет). После выхода патча фиксируют массовые попытки атак. Прошу по сайту <адрес>: какая сейчас версия ядра? Стоит ли 7.1.4 или бэкпорт ветки (7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14 … до 4.7.39)? Если нет — сделайте резервную копию и обновите. Проверьте, нет ли чужих администраторов и посторонних PHP-файлов; подозрительны обращения к PHP во временном каталоге обновлений ядра с 28.10. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-02-wordpress/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-02-wordpress/

Источник. Анонс WordPress 7.1.4: https://wordpress.org/news/2026/10/wordpress-7-1-4/ . Список исправлений и бэкпортов: https://wordpress.org/documentation/wordpress-version/version-7-1-4/