WordPress 7.1.4: 22 уязвимости и RCE при обновлении. Что сделать

28 октября 2026 года вышел WordPress 7.1.4 — релиз только с исправлениями безопасности. Разработчики просят обновиться немедленно. По подсчёту Patchstack, в нём закрыты 22 уязвимости в 17 бюллетенях. Самая опасная — гонка в процессе обновления ядра, которая может привести к удалённому выполнению кода без входа в админку. Остальные в основном хранимые XSS, для которых нужна учётная запись автора или участника.

Что исправили

Анонс на wordpress.org опубликовал Аарон Джорбин, он же вёл релиз вместе с Ником Цекурасом. В анонсе 12 пунктов про безопасность и отдельно — обновление корневых сертификатов после отзыва удостоверяющего центра eMudhra. Patchstack разложил пункты подробнее и указал, какие права нужны атакующему.

Два пункта в анонсе отмечены как найденные Anthropic: XSS в запросах на удаление персональных данных и XSS через специально составленные логины. Остальное нашли независимые исследователи и команда безопасности WordPress.

Насколько опасна RCE при обновлении

По описанию Patchstack, до 7.1.4 временная папка для распаковки пакета в wp-content/upgrade/ получала предсказуемое имя, а очистка удаляла защитный index.php. Пока обновление идёт — несколько секунд, — копия файлов WordPress лежала по угадываемому адресу. Patchstack оценил сложность атаки как высокую и называет практическую эксплуатацию маловероятной. Но окно открывается при каждом обновлении, в том числе автоматическом. В 7.1.4 к имени папки добавили 16 случайных символов, а index.php больше не удаляется.

Какие версии получили исправления

Патчи перенесли во все ветки, где ещё выходят исправления безопасности, — до 4.7 включительно. В тот же день вышли 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14 и так далее до 4.7.39. Сайты на 4.6 и старше исправлений не получат. Все исправления есть и в WordPress 7.2 Beta 3. Финальный 7.2 запланирован на 8 декабря, о его изменениях мы писали в статье про 7.2 Beta.

Что сделать владельцу сайта

1. Откройте «Консоль → Обновления» и проверьте версию. Если там не 7.1.4 (или 7.0.8, 6.9.11 для старших веток), обновитесь вручную.
2. Если автообновления ядра отключены, решите, кто и когда обновляет сайт. Такие релизы выходят несколько раз за осень.
3. Попросите хостинг или администратора сервера закрыть веб-доступ к wp-content/upgrade/ и проверить, что листинг каталога выключен. Между обновлениями там должен лежать только index.php.
4. Пересмотрите, у кого есть роли «Участник», «Автор» и выше. Почти все XSS из релиза начинаются с такой учётной записи: уволенные сотрудники и забытые подрядчики — первый кандидат на удаление.
5. Проверьте плагины и свои роли, которые дают право модерации комментариев без права редактирования записей: их касается проблема с заметками.
6. После обновления пройдите ключевые сценарии: вход, формы, корзина, редактор.

Если сайт давно не обновлялся и вы не уверены в плагинах, начните с бесплатной проверки уязвимостей CMS. Регулярные обновления ядра и плагинов с проверкой на копии входят в поддержку сайтов на WordPress.