ACF ниже 6.8.11 — обновите: чужой без входа мог подставить код в поле на сайте

Коротко. В плагине Advanced Custom Fields (ACF) закрыта ошибка: посторонний без входа на сайт мог испортить настройку поля так, что в страницах с этим полем выполнялся чужой код в браузере посетителя или администратора. Пример: 6.8.10 — уязвима, 6.8.11 — уже исправлена. Уязвимы версии ниже 6.8.11. Подтверждённых атак нет.

Касается ли это вас.

• Да, если на сайте стоит ACF или ACF PRO и версия ниже 6.8.11.
• Скорее нет, если ACF нет или уже стоит 6.8.11 или новее.
• Не знаете — в админке откройте «Плагины», найдите Advanced Custom Fields (или Advanced Custom Fields PRO) и посмотрите номер; либо перешлите статью тому, кто ведёт сайт.

Чем грозит. Чужой код в браузере того, кто открыл страницу с затронутым полем: у администратора это может привести к действиям от его имени в админке. Это не «взлом сервера одной кнопкой», но оставлять старую версию не стоит.

Что сделать в первую очередь.

1. Сделайте копию сайта в панели хостинга или попросите того, кто ведёт сайт.
2. В админке WordPress откройте «Плагины» и найдите Advanced Custom Fields или Advanced Custom Fields PRO. Посмотрите номер версии.
3. Если версия ниже 6.8.11 и в «Обновлениях» / у плагина есть кнопка обновления до 6.8.11 или новее — обновите. Чужие zip с форумов не ставьте.
4. Если кнопки обновления нет: для бесплатного ACF попросите поддержку хостинга обновить плагин advanced-custom-fields до 6.8.11 или новее (WordPress Toolkit / «Приложения») или того, кто ведёт сайт. Для ACF PRO берите обновление только из кабинета на сайте ACF.
5. После обновления откройте 1–2 обычные страницы и одну запись в админке, где есть поля ACF. Если на сайте есть кэш плагина, хостинга или CDN — сбросьте его (или попросите того, кто ведёт сайт). Страницы должны открываться как раньше, без странных всплывающих окон.

Получилось, если у Advanced Custom Fields или Advanced Custom Fields PRO в списке плагинов видна версия 6.8.11 или новее. Не получается — см. ниже.

Что сделать во вторую очередь.

1. Включите автообновление этого плагина, если доверяете релизам ACF на вашем сайте (по умолчанию автообновление плагинов в WordPress выключено).
2. Если сайт долго был на версии ниже 6.8.11 — попросите того, кто ведёт сайт, глянуть, не менялись ли странно группы полей ACF и нет ли подозрительных сессий администраторов.
3. Если сайт ставили не вы — перешлите готовый текст ниже.

Если сразу не получается.

• Нет прав админа — перешлите готовый текст тому, кто ведёт сайт.
• Боитесь сломать формы и блоки — сначала тестовая копия сайта, потом обновление.
• Пока обновить нельзя — временно попросите специалиста отключить сохранение пользовательских вариантов у полей-галочек и списков выбора, если они включены, и ограничить анонимные формы и комментарии, через которые портят настройки полей. Это не замена обновлению до 6.8.11.
• «Патчи» и сборки с форумов не ставьте.

Готовый текст для того, кто ведёт сайт.

Здравствуйте! Нужно обновить Advanced Custom Fields (slug advanced-custom-fields; для PRO — advanced-custom-fields-pro, тот же номер из кабинета ACF) до версии 6.8.11 или новее. Причина: CVE-2026-110813 — без входа на сайт можно было испортить определение поля ACF так, что в браузере посетителя или администратора выполнялся чужой скрипт; уязвимы версии ниже 6.8.11. Подтверждённых атак нет. После обновления проверьте страницы с полями ACF и при необходимости сбросьте кэш; при странных сессиях администраторов — смените пароли администраторов и разберитесь отдельно, одного обновления может быть мало. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-08-acf/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-08-acf/

Источник. Changelog ACF 6.8.11 (релиз 2 ноября 2026). Страница плагина на wordpress.org (актуальная 6.8.11, 2+ млн установок). Номер CVE-2026-110813 и оценка CVSS 7.5 — текстом, без ссылок на агрегаторы.