Wordfence выплатила $51 тыс. исследователям за уязвимости WordPress в июле

В июле 2026 года программа Wordfence Bug Bounty Program получила 1077 отчётов об уязвимостях от исследователей безопасности. Команда Wordfence Threat Intelligence анализирует и обрабатывает эти данные. Обнаруженные уязвимости ответственно раскрывают поставщикам программного обеспечения. Для этого используется портал Wordfence Vulnerability Management Portal. Сервис бесплатен для всех поставщиков WordPress.

Программа Wordfence Bug Bounty Program выявляет уязвимости WordPress

Программа Wordfence Bug Bounty Program нацелена на привлечение сообщества исследователей безопасности для поиска и ответственного раскрытия уязвимостей в плагинах и темах WordPress. Это позволяет разработчикам устранять проблемы до их обнаружения злоумышленниками. Wordfence ускоряет выпуск исправлений и обеспечивает раннюю защиту миллионов сайтов. Программа гарантирует своевременное получение информации об уязвимостях экосистемой WordPress. Исследователи получают вознаграждение за подтверждённые отчёты. Обработка каждого отчёта происходит прозрачно, точно и срочно.

Программа Bug Bounty Program получила 1077 отчётов в июле

В июле 2026 года программа получила 1077 отчётов об уязвимостях, что на 1% больше, чем в предыдущем месяце. Активными участниками программы были 281 исследователь, их число снизилось на 8,2%. Количество сообщений о высокоугрожающих уязвимостях выросло на 44,8% до 84. Число сообщений об обычных и опасных уязвимостях увеличилось на 62,2% до 73. Команда Wordfence выпустила 15 правил для межсетевого экрана (WAF), что на 114,3% больше, чем в прошлом месяце. Высокоугрожающие уязвимости могут привести к полному компрометированию сайта. К ним относятся загрузка произвольных файлов или удалённое выполнение кода. Обычные и опасные уязвимости включают хранимые межсайтовые сценарии (XSS) и SQL-инъекции.

Исследователи получили $51 183 за найденные уязвимости

В июле 2026 года исследователям выплатили $51 183 в виде вознаграждений и бонусов. Среднее вознаграждение за подтверждённый отчёт составило $210,63. Максимальная выплата одному исследователю достигла $15 600. Эта сумма была выплачена за уязвимость в плагине Elementor Pro с 5 миллионами активных установок. Другие крупные выплаты получили исследователи, обнаружившие проблемы в Forminator Forms ($2048), User Profile Builder ($975), Independent Analytics ($804) и Unlimited Elements For Elementor ($800).

243 уязвимости признаны актуальными

Из общего числа полученных отчётов 243 уязвимости были признаны актуальными (in scope). 17 отчётов были признаны не относящимися к области действия программы (out of scope). 610 отчётов были отклонены, а 207 признаны дублирующими. Наиболее часто встречающимся типом уязвимости стала CWE-79 (ненадлежащая нейтрализация ввода при генерации веб-страницы), по которой было получено 80 отчётов. На неё пришлось $13 415 выплат. Второе место заняла CWE-434 (неограниченная загрузка файла с опасным типом), по ней получено 18 отчётов и выплачено $21 909. Третье место у CWE-89 (ненадлежащая нейтрализация специальных элементов, используемых в SQL-команде) — 18 отчётов и $2 968 выплат.

Уязвимости без аутентификации принесли наибольшие выплаты

Уязвимости, эксплуатируемые без аутентификации, принесли исследователям в среднем $350,84. Всего таких уязвимостей было обнаружено 163. Уязвимости, требующие уровня аутентификации подписчика (Subscriber), принесли в среднем $133,37 (60 уязвимостей). Уязвимости, требующие аутентификации через пользовательский интерфейс (Unauthenticated – UI Required), принесли в среднем $74 (14 уязвимостей). Уязвимости с уровнем аутентификации 'Custom' принесли в среднем $19,67 (4 уязвимости). Уязвимости с наибольшим количеством установок (1 000 000–4 999 999) принесли в среднем $672. Уязвимости вне репозитория (Off-Repo) принесли в среднем $871,60.

Исследователь daroo отправил больше всего отчётов

Исследователь daroo лидирует по количеству отправленных отчётов — 19. Среднее вознаграждение за его отчёты составило $574,26. На втором месте d.v4n_s3c с 10 отчётами и средним вознаграждением $281,30. Третье место занял theviper17y с 9 отчётами и средним вознаграждением $67,89. Исследователь Supakiad S. (m3ez) отправил 8 отчётов со средним вознаграждением $294,38. Jonah Burgess (CryptoCat) также отправил 8 отчётов, получив в среднем $70,75. Исследователь Austin Ginder заработал больше всех — $15 810 за 3 отчёта, со средним вознаграждением $5 270.