SQL-инъекция в Backuply позволяет захватить WordPress-сайт

Вредоносный SQL-код выполняется при восстановлении бэкапа

В плагине Backuply для WordPress обнаружили уязвимость SQL-инъекции второго порядка. Атакующий с правами подписчика может внедрить вредоносный SQL-код. Этот код исполняется, когда администратор восстанавливает базу данных из резервной копии. Эксплуатация уязвимости позволяет злоумышленнику повысить свои привилегии до уровня администратора и получить полный контроль над сайтом. Уязвимость получила идентификатор CVE-2026-93953 и рейтинг CVSS 8.0 (High).

Backuply создает и восстанавливает резервные копии сайтов

Backuply — это плагин для WordPress, который используется для создания резервных копий, восстановления, миграции и клонирования сайтов. При создании бэкапа плагин экспортирует строки таблиц в SQL-дамп. При восстановлении он выполняет команды из дампа для воссоздания базы данных. Уязвимость находится в процессе восстановления. Злоумышленник внедряет вредоносный код через поле «Biographical Info» в профиле пользователя. WordPress сохраняет это значение как обычный текст в таблице wp_usermeta. Плагин Backuply экспортирует биографию как значение внутри SQL-запроса INSERT в дампе. Проблема возникает при восстановлении: плагин применяет регулярное выражение для поиска префикса таблиц. Это выражение может захватить текст из поля биографии и использовать его в другом SQL-запросе без должной проверки. Атакующий может сформировать биографию так, чтобы захваченный текст стал полным SQL-запросом, который выполнится вместо поиска префикса. Внедренный запрос изменяет опции default_role и users_can_register в таблице wp_options. Он устанавливает default_role в administrator и users_can_register в 1. После этого любой новый зарегистрированный пользователь автоматически получает права администратора.

Уязвимы версии Backuply до 1.5.9

Уязвимость затрагивает все версии плагина Backuply до 1.5.8 включительно. Разработчик выпустил исправленную версию 1.5.9 1 октября 2026 года. Wordfence предоставил правила для своего межсетевого экрана пользователям Wordfence Premium, Wordfence Care и Wordfence Response 24 сентября 2026 года. Пользователи бесплатной версии Wordfence получат ту же защиту 24 октября 2026 года.

Обновиться до версии 1.5.9

Пользователям WordPress необходимо как можно скорее обновить плагин Backuply до последней версии 1.5.9. Это устранит уязвимость SQL-инъекции. Wordfence рекомендует установить обновление для защиты сайта от полного захвата.