Главная О компании События, новости07.11.2026

Уязвимость WordPress: что произошло и нужно ли беспокоиться владельцам сайтов

6 ноября 2026 года хостинг-провайдер Макхост разослал своим клиентам предупреждение о серьёзной уязвимости в ядре WordPress (CVE-2026-119977). Информация вызвала закономерные вопросы у владельцев сайтов, в том числе у тех, чьи проекты вообще не используют WordPress.

Разберёмся, в чём заключается проблема, какие сайты она затрагивает и что необходимо сделать для защиты.

В чём заключается уязвимость

Проблема связана с механизмом обновления самого ядра WordPress. При определённом способе установки обновления система временно распаковывает новые файлы в каталог /wp-content/upgrade/, доступный через веб-сервер.

В этот короткий промежуток времени злоумышленник может попытаться воспользоваться особенностями процесса обновления и выполнить на сервере произвольный код. Для атаки не требуется авторизация в административной панели сайта.

Уязвимость получила оценку CVSS 8.1 (высокая). 3 ноября 2026 года она была включена в каталог активно эксплуатируемых уязвимостей CISA.

Важно понимать: речь не идёт об уязвимости, которая постоянно действует на работающем сайте.

Она связана именно с процессом обновления ядра WordPress. При обычной работе сайта, когда обновление не выполняется, описанный механизм атаки не активен. Однако окно риска возникает при каждом соответствующем обновлении, в том числе автоматическом.

Кого касается проблема

Уязвимость затрагивает сайты на WordPress версий от 4.7 до 7.1.3 включительно. Исправления выпущены для нескольких веток системы. В частности:

WordPress 7.1 — версия 7.1.4;
WordPress 7.0 — версия 7.0.8;
WordPress 6.9 — версия 6.9.11;
для более старых веток также выпущены исправления, вплоть до WordPress 4.7.39.

Версии WordPress 4.6 и старше больше не получают обновлений безопасности. Такие сайты требуют отдельного внимания и планирования перехода на поддерживаемую версию.

Если ваш сайт работает на другой CMS, например 1С-Битрикс, MODX или иной системе управления, данная уязвимость WordPress к нему не относится.

Сам факт размещения сайта на том же хостинге, где находятся сайты на WordPress, не делает его уязвимым.

Что рекомендуется проверить

Владельцам сайтов на WordPress рекомендуется выполнить несколько действий:

Проверить версию WordPress

В административной панели откройте «Консоль → Обновления» и посмотрите установленную версию ядра.

Установить исправление

Обновите WordPress до актуальной версии или соответствующего исправленного выпуска для используемой ветки.

Проверить результат

После обновления убедитесь, что версия действительно изменилась. Не следует считать сайт защищённым только потому, что автоматическое обновление включено.

Сделать резервную копию

Перед обновлением сохраните файлы сайта и базу данных.

Проверить плагины и темы

Установите доступные обновления, особенно если они содержат исправления безопасности.

Проверить каталог обновлений

При наличии доступа к файлам сайта рекомендуется убедиться, что в /wp-content/upgrade/ нет посторонних PHP-файлов.

Для VPS и выделенных серверов дополнительно рекомендуется ограничить веб-доступ к каталогу /wp-content/upgrade/ средствами веб-сервера. На обычном виртуальном хостинге возможность такой настройки зависит от предоставленных провайдером средств управления.

Нужно ли срочно опасаться взлома сайта

Повод отнестись к ситуации внимательно есть, но само получение предупреждения от хостинг-провайдера не означает, что сайт был атакован или скомпрометирован.

Уязвимость имеет специфические условия эксплуатации: злоумышленнику необходимо попасть в короткий промежуток времени, когда выполняется обновление ядра WordPress. Это существенно отличается от ситуации, когда уязвимость позволяет атаковать сайт в любой момент его обычной работы.

При этом откладывать установку исправлений не стоит: наличие уязвимости подтверждено, а информация об эксплуатации уже включена в международные каталоги угроз.

Если вы не используете WordPress, предпринимать какие-либо действия в связи именно с этой уязвимостью не требуется.

Если сайт находится на техническом сопровождении

Специалисты Т-Дизайн могут проверить используемую версию WordPress, наличие необходимых обновлений, состояние файлов сайта и выполнить необходимые работы по устранению выявленных проблем.

Если вы получили уведомление от хостинг-провайдера и не уверены, относится ли оно к вашему сайту, достаточно обратиться к нам. Мы поможем определить, затрагивает ли предупреждение используемую систему управления и требуются ли какие-либо действия.

Безопасность сайта — это не повод для паники, а задача для своевременной технической проверки и грамотного сопровождения.

События, новости

Все услуги