WordPress 7.1.4: RCE без аутентификации эксплуатируется после релиза

WordPress 7.1.4 устраняет RCE без аутентификации

WordPress выпустил версию 7.1.4 28 октября 2026 года. Обновление включает исправления для 22 уязвимостей безопасности. Наиболее критичная из них — условие гонки без аутентификации в процессе обновления ядра, которое может привести к удаленному выполнению кода (RCE). Злоумышленники уже активно пытаются использовать эту уязвимость. Владельцам сайтов необходимо убедиться, что WordPress обновлен до версии 7.1.4 или соответствующего патча для их ветки.

Продукт распределяет трафик между серверами приложений

WordPress — это система управления контентом (CMS), используемая миллионами веб-сайтов по всему миру. Она позволяет создавать и управлять веб-сайтами и их контентом. Обновление 7.1.4 исправляет ряд уязвимостей, включая межсайтовый скриптинг (XSS), отказ в обслуживании (DoS), утечку информации, проблемы с авторизацией и критическую уязвимость RCE.

Обновиться до 7.1.4 или поставить плагин безопасности

Уязвимость удаленного выполнения кода (RCE) выделяется тем, что для её эксплуатации не требуется наличие учётной записи на сайте. Успешная атака возможна только в узкое окно, когда WordPress распаковывает полное обновление ядра. В лабораторных условиях это окно длится всего несколько секунд. Злоумышленники постоянно сканируют уязвимые пути, пытаясь поймать этот момент. Большинство сайтов WordPress получают обновления безопасности автоматически, но рекомендуется проверить статус обновления вручную. Перейдите в раздел «Консоль» > «Обновления» и убедитесь, что ваш сайт работает под управлением WordPress 7.1.4 или соответствующей исправленной версии. Уязвимость затрагивает версии WordPress от 4.7 до 7.1.3. Исправления доступны в версиях 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8 и 7.1.4. Уязвимость получила оценку CVSS 8.1 (High). Исправление также было обратнопортировано в затронутые ветки до версии 4.7.

Проверить обновление и включить защиту Wordfence

Команда Wordfence Threat Response развернула новое правило межсетевого экрана 28 октября 2026 года. Пользователи Wordfence Premium, Care и Response получили его немедленно. Бесплатные пользователи Wordfence получат его 27 ноября 2026 года. Важно: эксплойт напрямую запрашивает PHP-файл, не загружая WordPress. Сайты, использующие Wordfence, должны убедиться, что межсетевой экран оптимизирован с расширенной защитой (Extended Protection). Получение правила не заменяет установку обновления безопасности. Владельцам сайтов WordPress следует проверить, обновлен ли WordPress до версии 7.1.4 или соответствующей версии для их ветки. WordPress 4.6 и более ранние версии больше не получают обновлений безопасности и должны быть обновлены до поддерживаемой версии. Убедитесь, что межсетевой экран Wordfence включен и оптимизирован. После обновления запустите сканирование Wordfence для выявления подозрительных изменений.