CISA подтвердила атаки на дыру WordPress — обновите сайт и проверьте его

Коротко. 28 октября 2026 WordPress выпустил 7.1.4: закрыта дыра в полном обновлении ядра (без пароля — код на сервере). 3 ноября CISA внесла её в каталог известных эксплуатируемых (KEV): атаки подтверждены. Если ещё не обновились — сделайте это сегодня. Уже обновились с уязвимой версии — всё равно проверьте сайт: дыра как раз в окне обновления.

Касается ли это вас.

• Да, если WordPress на своём хостинге и версия ниже исправляющей (номер — в «Консоль → Обновления»; для линейки 7.1 — ниже 7.1.4).
• Да, если уже на исправляющей, но недавно обновлялись с уязвимой — проверьте администраторов и отдайте хостингу проверку файлов.
• Управляемый хостинг или WordPress.com — уточните у провайдера номер ядра и нужна ли проверка.
• Не знаете: /wp-admin/ открывает вход — спросите того, кто делал сайт, или хостинг.

Чем грозит. Захват сайта: подмена страниц, вредонос для посетителей, доступ к данным. Щель — на короткое время при полном обновлении ядра. Как раз обновление до 7.1.4 (или исправления своей линейки) дыру закрывает; откладывать его нельзя. Сколько уже взломали — неизвестно.

Что сделать в первую очередь (сегодня).

1. «Консоль → Обновления»: для 7.1 нужна 7.1.4 (7.1.3 — уязвима). Сначала копия сайта и базы в панели хостинга, затем «Обновить сейчас». Ветки 4.6 и ниже security-исправлений не получают — только переход на поддерживаемую линейку через хостинг.
2. Другая ветка — последний выпуск своей линии (номера в готовом тексте и у айтишника), не прыгайте на 7.1 «наугад».
3. После обновления (и если уже обновлялись недавно): «Пользователи» — нет ли чужих администраторов. Посторонние скрипты в файлах сами не ищите — покажите хостингу или тому, кто ведёт сайт. Подозрительно — одного патча после взлома мало.
4. Нет входа — перешлите готовый текст тому, кто ведёт сайт.

Получилось: на «Обновлениях» 7.1.4 (или исправление своей линейки), сайт открывается, лишних админов нет. Не вышло — не ставьте ничего с форумов, пишите хостингу.

Что сделать во вторую очередь (на этой неделе).

1. «Настройки → Общие» — рабочая почта для писем о сбоях автообновления.
2. Сверьте автообновления с фактическим номером версии.
3. Уберите бывших подрядчиков из администраторов.

Если сразу не получается. Поручите хостингу или разработчику готовый текст. Плагины-«щиты» не заменяют обновление. Обходных мер WordPress не дал.

Готовый текст для поддержки или разработчика.

Здравствуйте! 28 октября 2026 WordPress выпустил 7.1.4 (и бэкпорты). 3 ноября 2026 CISA внесла CVE-2026-119977 в KEV: подтверждена эксплуатация гонки при полном обновлении ядра (без входа, RCE в окне обновления; в анонсе WordPress CVE нет — номер по Wordfence/CISA). По сайту <адрес>: какая версия ядра? Есть ли 7.1.4 или бэкпорт (7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14 … до 4.7.39)? Если нет — копия и обновление. Проверьте чужих администраторов и посторонние PHP; при подозрении на взлом одного патча мало. Подробности: https://nevzlom.ru/ru/tech/2026-11-04-wordpress-update/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-04-wordpress-update/

Источник. Бэкпорты и список исправлений: https://wordpress.org/documentation/wordpress-version/version-7-1-4/ · CISA 03.11.2026: https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog