WordPress срочно просит всех обновиться: найдена дыра, через которую сайт могут угнать целиком
Если у вас есть сайт на WordPress — не откладывайте. 22 сентября 2026 года команда безопасности WordPress выпустила экстренное обновление 7.1.2, которое закрывает критическую уязвимость. Слово «критическая» здесь не для красного словца: дыра позволяет постороннему человеку захватить ваш сайт полностью — без пароля, без логина, просто отправив специально составленный запрос.
Что вообще произошло
В WordPress есть механизм, который решает, какой шаблон показать для той или иной страницы. Оказалось, что через параметр pagename в адресе можно заставить движок «подсунуть» ему чужой PHP-файл — тот, который лежит вне папки вашей темы. Если на сервере и в теме совпадут определённые условия, злоумышленник получает возможность выполнить на вашем сайте произвольный код. По-простому: он может делать с сайтом что угодно — вплоть до полного захвата.
Уязвимость получила номер CVE-2026-87902 и оценку 9.2 из 10 по шкале опасности. Это очень высокий балл.
Кого это касается
Практически всех. Проблема живёт в WordPress с версии 4.7, то есть с 2016 года, и затрагивает все релизы вплоть до 7.1.1 включительно. Если вы когда-нибудь обновляли сайт, но не делали этого в последние дни — вы, скорее всего, в зоне риска.
Отдельно стоит насторожиться тем, у кого стоит «дочерняя» или обычная тема с папкой, название которой начинается на page- (например, page-templates). Под это описание попадают, в частности, старые темы Twenty Twelve и Twenty Fourteen, а также популярные сторонние темы Neve, Hestia и Sydney. Плюс важна настройка сервера: на официальном Docker-образе PHP и на типичной конфигурации cPanel (с PHP до 8.5) условия для атаки тоже складываются.
Важно: чтобы всё сработало, на сервере должен найтись подходящий читаемый .php-файл. Но злоумышленнику не нужно его создавать — подойдут и вполне безобидные файлы, которые уже есть в системе.
Что делать прямо сейчас
- Обновите WordPress до версии 7.1.2. Это можно сделать из админки: «Обновления» → «Обновить сейчас». Если у вас включены автоматические фоновые обновления, они, скорее всего, уже всё сделали сами.
- Если обновиться до 7.1.2 нельзя — поставьте последний security-патч для вашей ветки. Разработчики не бросили старые версии: исправление «бэкпортировали» (перенесли) вплоть до 4.7.37. То есть патч есть даже для самых старых сайтов.
- Проверьте, что обновление действительно встало. Иногда автообновление молча падает — особенно на сайтах с ограничениями на запись файлов.
Немного контекста, чтобы было понятно «зачем»
WordPress — это не просто «движок для блогов». На нём работает больше 40% всех сайтов в интернете: интернет-магазины, новостные порталы, сайты компаний, личные страницы. Уязвимость уровня «захват сайта без пароля» — это как незапертая дверь в квартиру, о которой узнали все, кроме хозяина.
Хорошая новость в том, что команда WordPress отреагировала быстро и выпустила исправление в тот же день, когда о проблеме сообщил исследователь безопасности Роберт Рессл. Плохая — в том, что патч помогает только тем, кто его установил. По статистике, значительная часть сайтов на WordPress обновляется месяцами, а то и годами. Именно поэтому такие новости и стоит читать даже людям далёким от ИТ: пять минут на обновление сейчас могут сэкономить недели на восстановление сайта потом.
