Уязвимости WordPress за 23–24 октября: Prime Mover 9.8 и что обновить
23 и 24 октября в базы уязвимостей добавили 29 записей CVE о плагинах WordPress. Самая серьёзная — в плагине резервного копирования и переноса Prime Mover: оценка 9.8 из 10, атакующему не нужна учётная запись. По данным сводки West Oakbridge на 24 октября, ни одна из этих уязвимостей пока не используется в атаках. Но после PHP2Shell и волны атак на Bricksforge понятно, что время между публикацией и первыми попытками взлома измеряется часами.
Prime Mover: атака через форму комментариев
Уязвимость CVE-2026-115806 затрагивает Prime Mover до версии 2.2.1 включительно. Ошибка в процедуре поиска и замены при переносе сайта: плагин распаковывает (десериализует) данные из базы без ограничений. Атакующий оставляет на сайте комментарий со специально подготовленным содержимым, оно сохраняется в базе. Когда администратор позже запускает обычный экспорт или восстановление через Prime Mover, этот код выполняется. Нужная для атаки цепочка есть в библиотеке Freemius, встроенной в сам плагин, так что других плагинов не требуется.
Плагин стоит более чем на 10 000 сайтов. В журнале изменений версии 2.2.2 Wordfence указан как автор найденной проблемы — обновитесь до 2.2.2 или новее до следующего переноса или резервной копии.
User Profile Builder: автор может стать редактором
Для User Profile Builder (более 40 000 установок) опубликованы четыре CVE с исправлением в версии 4.0.5. Одна из них, CVE-2026-115807 с оценкой 7.1, позволяет пользователю с ролью «Автор» создавать учётные записи с ролью «Редактор» и другими незащищёнными ролями. Для сайтов с регистрацией, внешними авторами или клубными кабинетами это повод обновиться в первую очередь.
Остальные заметные плагины из сводки
| Плагин | Установок | Обновить до | Что важно |
|---|---|---|---|
| Speed Optimizer (SiteGround) | 1 000 000+ | 7.8.5 | Две уязвимости, нужны права администратора |
| Popup Builder | 200 000+ | 4.4.6 | Атака без входа на сайт |
| ACF: Extended | 100 000+ | 0.9.2.8 | Без входа, но только для форм с определённой незаполненной настройкой |
| Download Monitor | 80 000+ | 5.3.5 | Отражённый XSS и проблема с расположением файлов в мультисайте |
| GeoDirectory | 10 000+ | 2.8.194 | Семь CVE, часть — без входа, одна ведёт к выполнению кода с правами администратора |
| GTM Server Side (Stape) | 10 000+ | 2.1.48 | Без входа, 8.7 по CVSS 4.0 |
| WPVR | 10 000+ | 9.0.3 | Нужна роль «Участник» |
| aBlocks | 2 000+ | 2.18.0 | Участник может повысить себя до редактора, 8.8 |
Три плагина 13 октября закрыты в каталоге WordPress.org без исправления: Front End Users, MAS Videos и тема-дополнение Advanced Twenty Seventeen. Обновлений для них не будет — их нужно заменить или удалить.
Что сделать администратору сайта
- Откройте «Плагины» в админке и сверьте список с таблицей выше. Обновите всё, что совпало, начиная с Prime Mover, User Profile Builder и Popup Builder.
- Удалите плагины, закрытые без исправления, и те, которыми давно не пользуетесь.
- Перед обновлением сделайте резервную копию файлов и базы, после — проверьте формы, оплату и личный кабинет.
- Если на сайте есть Prime Mover, перед ближайшим экспортом просмотрите комментарии на модерации и в спаме: длинные строки из случайных символов — повод не запускать перенос до обновления.
- Проверьте список пользователей: нет ли новых администраторов и редакторов, которых вы не создавали.
- Включите автообновление плагинов хотя бы для исправлений безопасности или договоритесь с подрядчиком о сроке установки критических патчей.
Внешние признаки взлома можно быстро проверить бесплатным сканером сайта. Если плагинов десятки и следить за выпусками некому, эту работу берёт на себя техническая поддержка сайта.
Оговорка: часть данных о версиях и числе установок взята из одной сводки, которая опирается на записи CVE, Wordfence и WPScan. Для Prime Mover и User Profile Builder сведения подтверждены записями в базах CVE. Перед обновлением сверьтесь со страницей плагина и журналом изменений.
Источники
Вопросы и ответы
Prime Mover у меня установлен, но я им не пользуюсь. Опасно?
Атака срабатывает, когда администратор запускает экспорт или восстановление через плагин. Если вы этого не делаете, риск ниже, но лучше обновить плагин до 2.2.2 или удалить его: в будущем им может воспользоваться другой сотрудник или подрядчик.
Эти уязвимости уже используют хакеры?
По данным на 24 октября, сообщений об атаках нет. Но для критических уязвимостей WordPress в октябре атаки начинались в течение нескольких дней после публикации, поэтому откладывать обновление не стоит.
Что делать с плагином, который убрали из каталога без исправления?
Обновлений для него не будет. Найдите замену с той же функцией, перенесите настройки и удалите старый плагин полностью, а не только отключите.