Справочник уязвимостей
Поток уязвимостей отслеживаем сами — по базе NVD и каталогу активно эксплуатируемых уязвимостей CISA. Сюда выписываем не всё подряд, а то, что касается массовых сайтов и что видно снаружи: такую уязвимость находит наш экспресс-аудит и говорит о ней прямо в отчёте.
Обновлено 2 ноября 2026
WordPress: выполнение кода через окно обновления ядра
Состояние гонки в обновлении WordPress: пока файлы новой версии распакованы во временный каталог, через установщик из этой копии можно подсунуть свою базу данных и выполнить код на сервере.
Кого касается. Все сайты на WordPress, где ядро обновляется через админку. Опасность возникает в момент обновления, поэтому сайт, который давно не обновляли, рискует именно при следующем обновлении.
Как проверить. Посмотрите версию в админке: Консоль → Обновления. Если номер сборки ниже исправленного для вашей ветки — ставьте обновление. Заодно проверьте, что каталог wp-content/upgrade не отдаётся снаружи и в нём не выполняется PHP.
Что сделать. Обновить WordPress до исправленной версии своей ветки и запретить выполнение PHP в каталоге wp-content/upgrade.
В какой версии исправлено
| Ветка | Исправлено в |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
| 6.5 | 6.5.14 |
| 6.4 | 6.4.14 |
Исправления бэкпортированы во все поддерживаемые ветки вплоть до 4.7: 6.3 и 5.9 закрыты в 6.3.14 и 5.9.20, ветки с 5.8 по 5.0 — в 5.8.19 … 5.0.31, ветки 4.9, 4.8 и 4.7 — в 4.9.35, 4.8.34 и 4.7.39. Для 4.6 и старше обновлений нет вовсе.
Подробный разбор: что происходит и когда это повод менять платформу
PHP: две уязвимости, которые уже эксплуатируют
Ошибки в обработке нехватки памяти и в сбросе глобального состояния между запросами. Внесены в каталог активно эксплуатируемых уязвимостей CISA, то есть атаки идут.
Кого касается. Любой сайт на PHP: затронуты все ветки от 7.4 до 8.5. Особый случай — системы, снятые с поддержки: на CentOS 7 штатных пакетов с исправлением нет, нужен репозиторий панели управления или платная поддержка.
Как проверить. Номер версии при бэкпорте не меняется, поэтому php -v ничего не доказывает. Смотреть надо журнал изменений пакета: rpm -q --changelog php | grep CVE-2026-109618 или аналог для вашей системы.
Что сделать. Поставить обновление PHP от хостинга или панели управления. Номер версии при бэкпорте не меняется, поэтому php -v ничего не доказывает — смотреть журнал изменений пакета.
Подробный разбор: что происходит и когда это повод менять платформу
Проверьте, что видно на вашем сайте
Экспресс-аудит определяет платформу и версии по открытым признакам и сверяет их с этим справочником. Минута, бесплатно, без доступов к сайту.
Справочник пополняется по мере того, как выходят уязвимости, которые действительно касаются сайтов наших клиентов.