Перед патчем WordPress закройте папку обновлений — иначе окно атаки останется

Коротко. Дыра при обновлении WordPress уже атакуют (CISA подтвердила). Исправление есть с 28 октября 2026. По данным исследователя (вторично): само обновление до фикса на ещё непатченном сайте снова открывает короткое окно. Сначала закройте веб-доступ к папке обновлений — потом патч. Автообновление тоже может открыть окно само.

Касается ли это вас.

• Да, если WordPress на своём хостинге и версия ниже исправляющей (для 7.1 — ниже 7.1.4).
• Да, если как раз собираетесь ставить этот патч.
• Уже давно на 7.1.4 / исправлении своей линейки — новое действие не нужно; если недавно обновлялись с уязвимой — гляньте «Пользователи».
• Управляемый хостинг или WordPress.com — спросите версию ядра и закрыт ли веб-доступ к папке обновлений.
• Сайт не на WordPress — этот выпуск не про вас.

Чем грозит. В окне обновления без пароля могут выполнить код на сервере: подмена сайта, вредонос для посетителей. Сколько взломали — неизвестно. «Обновить сейчас» без закрытой папки на непатченном сайте оставляет последнее окно.

Что сделать в первую очередь (сегодня).

1. Сразу попросите хостинг запретить открытие из браузера папки /wp-content/upgrade/ (и не откладывайте: фоновое автообновление может стартовать само). Правило не ломает обновление.
2. Проверьте в браузере: https://ваш-сайт/wp-content/upgrade/ — должен быть отказ (обычно 403). Нет доступа к настройкам сервера — только тикет хостингу; не жмите «Обновить», пока не подтвердили 403.
3. Копия сайта и базы в панели хостинга, затем «Консоль → Обновления»: для 7.1 нужна 7.1.4. Другая ветка — последний выпуск своей линии. Ветки 4.6 и ниже фиксов не получают — только переход на поддерживаемую линейку.
4. После: «Пользователи» — нет ли чужих администраторов. Странные файлы — хостингу. Подозрительно — одного патча мало.

Получилось: /wp-content/upgrade/ снаружи 403, на «Обновлениях» нужный номер, лишних админов нет. Не вышло — готовый текст хостингу, ничего с форумов.

Что сделать во вторую очередь. Оставьте запрет к папке обновлений и после патча. Рабочая почта в «Настройки → Общие». Уберите бывших подрядчиков из администраторов.

Если сразу не получается. Поручите хостингу готовый текст. Плагины-«щиты» не заменяют обновление. Ручная замена ядра официальным пакетом вне папки сайта — запасной путь для специалиста.

Готовый текст для поддержки или разработчика.

Здравствуйте! По сайту <адрес>: CVE-2026-119977 (гонка при обновлении ядра; CISA KEV с 03.11.2026). Нужна 7.1.4 или бэкпорт ветки (7.0.8, 6.9.11 … до 4.7.39). До обновления с уязвимой: запретите веб-доступ к wp-content/upgrade (nginx/Apache или RedirectMatch в корневом .htaccess выше блока WordPress; не кладите .htaccess внутрь upgrade), проверьте 403; учтите автообновление ядра. WP-CLI wp core update — тот же обновлятор (по данным исследователя). Либо ручная замена ядра из официального пакета вне webroot. После — чужие администраторы и проверка файлов. Подробности: https://nevzlom.ru/ru/tech/2026-11-06-wordpress-update/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-06-wordpress-update/

Источник. Бэкпорты: https://wordpress.org/documentation/wordpress-version/version-7-1-4/ · CISA 03.11.2026: https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog