WordPress CVE-2026-119977: CISA подтвердила атаки, патч в 7.1.4

CISA подтвердила, что уязвимость WordPress Core CVE-2026-119977 используется в реальных атаках, и 3 ноября добавила её в каталог KEV. По данным Wordfence, за сутки плагин защиты заблокировал около 13 тысяч попыток атаки. Затронуты версии с 4.7 по 7.1.3, исправление вышло 28 октября в WordPress 7.1.4. Что делать: убедиться, что у сайта версия 7.1.4 или новее, и проверить целостность файлов и список администраторов.

Что нового с момента выхода 7.1.4

О релизе 7.1.4 мы писали 2 ноября в материале про 22 уязвимости. Новое с тех пор: у одной из найденных ошибок появилось подтверждение эксплуатации. Это ошибка TOCTOU (гонка между проверкой и использованием, CWE-367) в процессе полного обновления ядра. Во время обновления WordPress использует предсказуемый путь для временных файлов, доступный из интернета, и неавторизованный пользователь, попав в этот промежуток, может добиться выполнения кода на сервере. Атака сложная, но Wordfence видит её массово.

Федеральным ведомствам США CISA дала срок до 6 ноября. Для остальных это сигнал приоритета: BleepingComputer приводит рекомендацию CISA обновиться всем, включая частный сектор. Об объёме атак источники немного расходятся: BleepingComputer называет 13 095 блокировок за 24 часа, в других публикациях встречается 12 632.

Кого это касается

• Любые сайты на WordPress версии с 4.7 по 7.1.3 включительно;
• сайты, где автообновление ядра отключено константой или плагином;
• сайты, которые обновляют вручную по FTP или из панели хостинга: именно во время такого обновления существует окно атаки;
• мультисайты и клиентские сайты у подрядчиков, о которых владелец давно не вспоминал.

Если автоматические фоновые обновления у вас включены, сайт, скорее всего, уже обновился: в сообщении о релизе WordPress.org сказано, что сайты с включёнными фоновыми обновлениями обновятся сами. Исправления выпущены и для старых веток, вплоть до 4.7.

Как проверить себя

1. Откройте «Консоль → Обновления» или выполните wp core version. Должно быть 7.1.4 или выше (для старых веток — исправленный выпуск вашей ветки).
2. Сверьте файлы ядра с эталоном: wp core verify-checksums. Лишние или изменённые файлы в корне, wp-admin и wp-includes — повод для расследования.
3. Посмотрите администраторов: wp user list --role=administrator. Незнакомые учётки удалите, пароли у остальных смените.
4. Проверьте дату изменения wp-config.php, свежие файлы в wp-content/uploads с расширением .php и задания cron.
5. Просмотрите логи веб-сервера за период обновления на необычные обращения к временным каталогам обновления.

Как закрыть

1. Обновите ядро до 7.1.4 (кнопка «Обновить сейчас» или пакет с wordpress.org).
2. Включите автоматические обновления безопасности ядра и убедитесь, что AUTOMATIC_UPDATER_DISABLED не задан в wp-config.php.
3. Делайте обновление при свежей резервной копии и вне пикового трафика: рядом с окном обновления самое опасное время.
4. Если нашли следы взлома, действуйте по пошаговому плану и подключайте экстренную помощь.

Что это значит для владельца сайта

Главный вывод: автообновление ядра для небольших сайтов безопаснее ручного. Подробнее о режимах и откате — в отдельном разборе, как обновлять WordPress вручную и откатываться, а регулярные проверки версий и целостности делает поддержка сайта. Если хотите независимую проверку, есть аудит WordPress.

Источники: CISA, 3 ноября, BleepingComputer, WordPress 7.1.4, Wordfence.