Craft CMS 5 ниже 5.11.5 — обновите: дыры в API, регистрации и панели

Коротко. В Craft CMS ветки 5.x закрыт пакет ошибок. Через публичный GraphQL (открытый API к содержимому) можно было читать записи, которые схема не должна была отдавать. При открытой регистрации и отключённой проверке email — забрать права у деактивированного пользователя. У вошедшего в панель редактора — тяжёлые сценарии вплоть до запуска чужого кода на сервере. Пример: 5.11.1 — уязвима, 5.11.5 и актуальная 5.12.x — уже с исправлениями. Подтверждённых атак нет.

Касается ли это вас.

• Да, если сайт на Craft CMS 5.x и версия ниже 5.11.5.
• Скорее нет, если уже 5.11.5 или новее (в том числе 5.12.x).
• Не знаете название Craft — спросите у того, кто делал сайт «под ключ». Версию в панели: Utilities → System Report (или «Системный отчёт»). Нет такого пункта — перешлите статью тому, кто ведёт сайт.

Чем грозит. Утечка скрытого содержимого через API, захват прав старого аккаунта при открытой регистрации без проверки email, при доступе к панели — риск выполнения кода на сервере. Срочности «бросить всё сегодня» нет, но оставлять систему без этих исправлений незачем.

Что сделать в первую очередь.

1. Сделайте копию сайта (файлы + база) или попросите того, кто ведёт сайт.
2. Узнайте версию Craft (System Report). Если ниже 5.11.5 — планируйте обновление.
3. Обновите штатным способом проекта до 5.11.5 или новее (удобный ориентир — 5.12.x): через Utilities → Updates в панели, если обновления разрешены, либо через Composer / того, кто ведёт сервер. Не ставьте zip с форумов и не прыгайте на тестовые alpha 6.x.
4. После обновления откройте главную, пару страниц и вход в панель. Кэш хостинга или CDN — сбросьте.

Получилось, если в System Report видна версия не ниже 5.11.5 на ветке 5. Не получается — см. ниже.

Что сделать во вторую очередь.

1. Если включены публичный GraphQL и регистрация пользователей — попросите проверить, кому что открыто.
2. Если сайт долго стоял ниже 5.11.5 — гляньте список пользователей и недавние странные правки.
3. Если сайт ставили не вы — перешлите готовый текст ниже.

Если сразу не получается.

• Нет доступа к серверу — перешлите готовый текст тому, кто ведёт Craft.
• Боитесь сломать вёрстку и плагины — сначала копия / staging.
• Пока обновить нельзя — временно отключите публичную регистрацию (или включите проверку email) и сузьте публичный GraphQL. Это не замена обновлению.
• «Патчи» с форумов не ставьте.

Готовый текст для того, кто ведёт сайт.

Здравствуйте! Нужно обновить Craft CMS (пакет craftcms/cms, ветка 5.x) до версии 5.11.5 или новее, предпочтительно актуальный 5.12.x. Причина: CVE-2026-124427, CVE-2026-124428, CVE-2026-124429, CVE-2026-124430 — обход ограничений GraphQL, чтение отдельных файлов из панели, эскалация через публичную регистрацию без проверки email, тяжёлый сценарий для пользователя панели вплоть до выполнения кода; смежные официальные advisories того же периода закрываются не ниже 5.11.5. Подтверждённых атак нет. После обновления — миграции/кэши по вашему runbook, smoke фронта, CP и GraphQL; при странных пользователях или сессиях — разбор отдельно, одного обновления может быть мало. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-08-craft-cms/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-08-craft-cms/

Источник. Актуальную версию ядра берите штатным обновлением проекта (Utilities → Updates или Composer) из официального канала Craft / Pixel & Tonic. Номера CVE-2026-124427 … CVE-2026-124430 — текстом; ссылки на агрегаторы и security advisories в публикацию не ставим.