Короткий ответ. 28 октября вышел WordPress 7.1.4. Он закрывает 22 уязвимости, самая опасная позволяет взломать сайт без пароля за те несколько секунд, пока идёт обновление. Обновляться нужно, выключать автообновления не надо: версия 7.1.4 закрывает это окно для всех следующих обновлений. Перед обновлением попросите разработчика или хостера закрыть из интернета папку wp-content/upgrade.
Что случилось
В конце октября разработчики WordPress выпустили версию 7.1.4 и сразу исправленные версии для старых веток. Обновление закрывает 22 уязвимости. Самую серьёзную нашёл исследователь Умут Байрам: через неё можно выполнить на сервере чужой код без логина и пароля. Номер CVE ей на 30 октября ещё не присвоен, по шкале CVSS её оценили в 8,1 балла из 10.
Злоумышленники за этой уязвимостью уже охотятся. По данным компании Wordfence, за 21 час её защита зафиксировала больше 18 500 запросов к папкам, через которые идёт атака. Публичного готового эксплойта на 30 октября не подтверждено, но автоматические сканеры уже перебирают сайты.
Обновление опасно? Нет, и объясняем почему
Именно здесь многие спотыкаются. Если взломать можно во время обновления, может, лучше не обновляться? Наоборот.
Уязвимость сидит в старом механизме обновления. Когда WordPress ставит новую версию, он распаковывает её файлы в папку wp-content/upgrade. До версии 7.1.4 имя папки было предсказуемым, а на многих серверах её содержимое видно из интернета. На несколько секунд, пока идёт распаковка, злоумышленник может обратиться к этим файлам и запустить свой код.
Это окно открывается при каждом обновлении, в том числе автоматическом. Версия 7.1.4 его закрывает, и следующие обновления проходят безопасно. Если же не обновиться, уязвимым останется каждое будущее обновление, а с ним и ещё 21 исправленная дыра.
Остаётся сам переход на 7.1.4: его ещё выполняет старый механизм. Поэтому сначала стоит закрыть доступ к папке wp-content/upgrade из интернета, а потом обновляться. Это настройка веб-сервера, её делает разработчик, администратор или хостер.
Касается ли это вашего сайта
Да, если сайт сделан на WordPress, в том числе интернет-магазин на WooCommerce. Уязвимы версии с 4.7 по 7.1.3. Исправления выпустили для всех веток начиная с 4.7: например, 7.0.8, 6.9.11, 6.8.12 и так далее вплоть до 4.7.39.
Для WordPress 4.6 и старше исправлений нет совсем. Если ваш сайт работает на такой версии, его нужно переводить на актуальную, а до этого хотя бы закрыть папку обновлений.
Сайтов на 1С-Битрикс, Tilda и других системах эта уязвимость не касается. Но если сайт работает на PHP, проверьте заодно, установлены ли октябрьские исправления самого PHP: про уязвимость PHP2Shell мы писали отдельно в статье Октябрь 2026: критическая уязвимость в каждом сайте на PHP.
Узнать версию WordPress можно в админке сайта: «Консоль» → «Обновления».
Что сделать сегодня
- Узнайте версию WordPress на сайте.
- Попросите разработчика или хостера закрыть доступ к папке wp-content/upgrade из интернета и отключить для неё просмотр содержимого.
- Обновите WordPress до 7.1.4 или до исправленной версии вашей ветки.
- Проверьте, что сайт открывается, формы отправляются, а заказы, если это магазин, доходят.
- Оставьте автообновления включёнными.
Готовые письма разработчику и хостеру – в блоке ниже.
Почему защитный плагин здесь не спасёт
На многих сайтах стоят плагины безопасности, которые работают внутри WordPress. От этой атаки они не защищают: распакованная во время обновления копия загружает WordPress из собственных файлов, в обход установленных плагинов. Об этом пишут специалисты Patchstack в разборе обновления. Закрыть папку нужно на уровне веб-сервера.
А что с остальными 21 уязвимостью
Большинство из них можно использовать, только имея на сайте учётную запись с правами автора, участника или выше. Это хороший повод навести порядок в списке пользователей: удалить бывших сотрудников, старых подрядчиков и тестовые аккаунты, а лишним людям понизить права.
Как понять, что сайт уже взломали
Общие признаки взлома: посетителей перебрасывает на чужие страницы, в поиске появились страницы, которых вы не создавали, хостер прислал письмо о вредоносной активности, в админке появились незнакомые пользователи. Если что-то из этого есть, одного обновления мало: нужна проверка сайта и сервера. Почему после поверхностной чистки сайт заражается снова, мы объясняли в статье Почему «полечили и снова заразилось».
Что написать разработчику и хостеру
Скопируйте нужное письмо, впишите адрес сайта и отправьте сегодня.
Дать специалисту: готовые запросы
Скопируйте, впишите адрес сайта и отправьте хостеру или тому, кто обслуживает сайт.
Источники
- Официальные заметки к релизу WordPress 7.1.4 – wordpress.org
- Обзор Daily CyberSecurity с данными Wordfence о попытках атак
- Разбор уязвимостей WordPress 7.1.4 – Patchstack
Когда звать подрядчика
Если вы не знаете, кто обновляет ваш сайт, на какой он версии или есть признаки взлома, обратитесь к нам. Проверим сайт и сервер, закроем папку обновлений и обновим WordPress. Если сайт уже взломан, вылечим его. Стоимость зависит от состояния сайта, назовём её после проверки. Кому звонить, когда с сайтом проблемы, мы разбирали в статье Сайт не работает: хостер, разработчик или ИТ – кому звонить.