Вы обновляете сайт ради безопасности. Поздравляем, именно сейчас его могут взломать
WordPress снова удивил. Оказалось, что иногда самый опасный момент в жизни сайта наступает не тогда, когда его забросили на пять лет, а когда добросовестный администратор нажимает кнопку «Обновить».
Звучит как анекдот про современную информационную безопасность. Но у анекдота есть официальный номер: CVE-2026-119977.
И оценка серьёзности 8,1 балла из 10.
Безопасность, которая открывает дверь хакеру
Представьте ситуацию.
Вы владелец небольшого интернет-магазина. У вас сайт на WordPress. Вы регулярно обновляете систему, устанавливаете патчи, следите за безопасностью.
Словом, делаете всё то, что вам последние двадцать лет советовали специалисты.
В один прекрасный день WordPress предлагает очередное обновление.
Вы нажимаете кнопку.
А где-то в интернете злоумышленник получает возможность выполнить собственный код на вашем сервере.
Нет, пароль администратора ему для этого не нужен. И вашу почту взламывать необязательно.
Причина в том, как WordPress устанавливал обновления.
Система распаковывала файлы в предсказуемое временное расположение, которое при определённых настройках сервера было доступно извне.
Если атакующий успевал воспользоваться коротким промежутком во время обновления, он мог вмешаться в процесс и добиться выполнения кода.
Ирония достойна отдельной премии.
Вы закрываете уязвимости, а механизм их закрытия сам становится уязвимостью.
Правда, для атаки требуется совпадение условий и времени. Это не означает, что любой сайт можно взломать одной командой в любую секунду.
Но легче ли от этого владельцу сайта?
А теперь немного цифр
Проблема затронула WordPress версий с 4.7 по 7.1.3.
28 октября 2026 года разработчики выпустили исправление в версии 7.1.4.
А уже 3 ноября американское агентство CISA включило уязвимость в каталог реально эксплуатируемых.
То есть это уже не история из серии «теоретически можно что-нибудь сломать».
Атакующие действительно пытаются использовать проблему.
По данным Wordfence, за одни сутки система защиты заблокировала более 13 тысяч атак, нацеленных на эту уязвимость.
И здесь возникает интересный вопрос.
Сколько небольших компаний вообще знают, какая версия WordPress стоит на их сайте?
Сколько владельцев интернет-магазинов уверены, что обновления устанавливаются корректно?
И сколько из них узнают о проблемах исключительно после звонка клиента со словами: «А почему ваш сайт предлагает скачать какой-то подозрительный файл?»
Самое смешное, что обновление тоже может быть опасным
Исследователи Xint обратили внимание на особенно неприятный нюанс.
Когда старый WordPress впервые обновляется до исправленной версии 7.1.4, распаковку файлов всё ещё выполняет старый механизм.
А значит, даже установка патча при определённых условиях может оставить короткое окно для атаки.
Получается почти философская конструкция.
Чтобы устранить уязвимость, нужно обновиться.
Но во время обновления уязвимость ещё существует.
Разумеется, это не повод отказаться от обновлений. Это повод задуматься, насколько сложно устроена безопасность даже у системы, которой пользуется огромное количество сайтов.
«У нас маленький сайт, кому мы нужны?»
Обожаю этот аргумент.
Особенно когда его произносит владелец компании, у которой на сайте хранятся заявки клиентов, телефоны, адреса и другие персональные данные.
Злоумышленникам совершенно необязательно знать, кто вы такой.
Массовые атаки часто работают по принципу автоматизированного поиска уязвимых систем.
Нашли слабое место, попробовали использовать, перешли к следующему.
Ваш сайт может быть никому не интересен как бизнес.
Но ваш сервер вполне может оказаться интересен как ресурс.
Для размещения вредоносного кода, распространения мошеннических страниц или дальнейших атак.
А потом выясняется, что техническим обслуживанием занимался знакомый программист, который «вроде что-то там обновлял».
И теперь почему-то не отвечает на телефон.
Так что теперь, вообще ничего не обновлять?
Нет. Как раз наоборот.
Установить исправленную версию WordPress или актуальное защищённое обновление своей ветки. Проверить результат, права доступа, журналы событий. Для важных сайтов организовать обновление под контролем администратора и с резервной копией.
И главное, перестать считать наличие зелёной галочки рядом со словом «Обновлено» доказательством защищённости.
Потому что обновлённое программное обеспечение и защищённая инфраструктура далеко не всегда одно и то же.
И вот что меня действительно удивляет
Мы живём в эпоху искусственного интеллекта.
Нейросети пишут программный код, автоматизируют бизнес-процессы и обещают заменить целые отделы разработчиков.
Компании продают нам цифровую трансформацию, интеллектуальную защиту и киберустойчивость.
Но в 2026 году оказывается, что одна из самых популярных систем управления сайтами может допустить выполнение чужого кода непосредственно во время собственного обновления.
И это, пожалуй, прекрасная иллюстрация современного IT.
Мы научились автоматизировать практически всё.
Кроме гарантии того, что сама автоматизация не создаст новую проблему.
А теперь вопрос к читателям.
Вы действительно контролируете безопасность своего сайта или просто надеетесь, что разработчики WordPress, вашего хостинга и десятка установленных плагинов всё предусмотрели?
И главное: кто будет виноват, когда окажется, что не предусмотрели?
Роман Искрин. Не обязательно соглашаться. Главное — думать.