Radar · Безопасность · 3 ноября 2026
WordPress CVE-2026-119977: эксплуатация подтверждена — что проверить после обновления
CISA включила уязвимость процесса обновления WordPress в каталог KEV. Недостаточно просто увидеть установленную новую версию: важно проверить, когда обновлялось ядро и нет ли следов посторонних изменений.
Что произошло
Что изменилось
28 октября 2026 года WordPress выпустил версию 7.1.4 с исправлением ошибки в процессе обновления ядра. Во время обновления WordPress возникал короткий промежуток, когда злоумышленник мог вмешаться в установку файлов и выполнить вредоносный код на сервере без входа в административную панель. Уязвимость получила номер CVE-2026-119977. 3 ноября американское агентство CISA включило её в каталог Known Exploited Vulnerabilities, то есть речь уже не только о теоретической проблеме. Важное различие: опасность связана с окном обновления, а само наличие WordPress на сайте не доказывает успешную атаку. Появление новой версии тоже не подтверждает, что предыдущее обновление проходило безопасно. Подробнее об исправлении — в предыдущем обзоре WordPress 7.1.4. Здесь разбираем подтверждение эксплуатации и проверку сайта после обновления.
Кого касается
Где это имеет практический эффект
Сайты с уязвимыми выпусками WordPress, проходившие обновление ядра в условиях доступности временных установочных файлов через HTTP. Приоритет выше для сайтов с автоматическими фоновыми обновлениями, множеством установок на одном сервере и ограниченной историей журналов. Для основной актуальной ветки исправление включено в 7.1.4; для старых веток необходимо проверять конкретный выпущенный security-backport, а не считать любую ранее установленную версию автоматически защищённой. CISA KEV — основание для приоритета проверки, но не доказательство компрометации отдельного сайта.
Что проверить
Практические шаги
- Составить инвентаризацию всех установок WordPress, включая поддомены и тестовые копии. Проверить фактическую версию ядра и доступные патчи именно для своей ветки; не полагаться только на уведомление о завершении автообновления.
- До вмешательства создать проверяемую резервную копию файлов и базы данных. Для действующего сайта подготовить план восстановления и согласовать окно обслуживания.
- Установить исправление штатным механизмом WordPress либо поддерживаемым пакетом хостинга. Для устаревших веток проверить опубликованный backport и необходимость перехода на актуальную ветку; после обновления проверить формы, авторизацию, страницы и плагины.
- Сопоставить время последних обновлений ядра с журналами веб-сервера и защитных средств. Отдельно исследовать необычные обращения к временным каталогам установки, неизвестные PHP-файлы и нетипичные изменения системных файлов — без предположения, что один запрос равен взлому.
- Проверить контрольные суммы официальных файлов ядра штатными средствами и сравнить изменённые конфигурации с доверенной копией. Не удалять подозрительные артефакты до фиксации доказательств, если обнаружены признаки инцидента.
- При признаках вмешательства ограничить доступ, сохранить журналы и снимки, провести независимую проверку и только затем восстанавливать чистое окружение. Простое повторное обновление не гарантирует устранения уже установленного постороннего кода.
- При определении срочности учитывать подтверждение эксплуатации CISA KEV, но не переносить ведомственные сроки исправления США на частные российские сайты.
Первичный источник
CISA — каталог известных эксплуатируемых уязвимостей, CVE-2026-119977
CISA — каталог известных эксплуатируемых уязвимостей, CVE-2026-119977 · CVECVE-2026-119977ИсправлениеWordPress 7.1.4
Radar фиксирует событие и практический следующий шаг. Перед изменениями проверяйте актуальную документацию первичного источника.