Критическая уязвимость в WordPress (CVE-2026-119977): что нужно знать и как защитить свой сайт

В ядре популярной CMS WordPress обнаружена опасная уязвимость, получившая идентификатор CVE-2026-119977 (оценка опасности — 8.1 из 10 по шкале CVSS). Проблема затрагивает практически все актуальные и устаревшие версии движка — с 4.7 по 7.1.3.

Поскольку хакеры уже активно используют эту уязвимость для автоматических атак по всему миру, всем владельцам сайтов на WordPress необходимо убедиться в безопасности своих проектов.

В чем суть проблемы?

Уязвимость связана с механизмом обновления самого WordPress. Когда запускается обновление (вручную или автоматически), система скачивает архив с новой версией и на несколько секунд распаковывает его во временную папку /wp-content/upgrade/.

Из-за ошибки в логике безопасности (так называемого «состояния гонки») эта временная папка остается доступной извне по прямой ссылке. Злоумышленники используют специальных ботов, которые постоянно сканируют сайты в сети, пытаясь «поймать» именно те несколько секунд, пока идет обновление. Если боту удается обратиться к временному файлу установки (setup-config.php) в нужный момент, хакер может перехватить управление процессом, создать на сайте нового администратора и загрузить вредоносный код.

Обычные плагины безопасности (WAF) внутри WordPress не могут заблокировать эту атаку, так как обращение идет напрямую к временному файлу в обход основного движка сайта.

Какие меры уже приняты в NetAngels?

Чтобы защитить проекты наших клиентов на этапе обновления, мы уже внедрили глобальное правило на уровне веб-серверов хостинга, которое блокирует прямой HTTP-доступ к директории /wp-content/upgrade/ извне. Это закрывает основной вектор эксплуатации уязвимости во время установки обновлений.

Однако эта мера не отменяет необходимости действий со стороны администратора сайта:

• Глобальная блокировка защищает процесс обновления на нашем виртуальном хостинге, но не исправляет саму уязвимость в коде вашего сайта.

• Если вы используете VPS/VDS или выделенный сервер с собственными настройками ПО, серверные правила виртуального хостинга на них не распространяются — вам нужно настроить блокировку самостоятельно.

• Если ваш сайт обновлялся до того, как были введены защитные меры, его необходимо проверить на предмет возможного взлома.

Что нужно сделать владельцам сайтов?

Разработчики WordPress уже выпустили исправления (начиная с версии 7.1.4, а также патчи безопасности для более ранних веток). Мы рекомендуем выполнить следующий чек-лист:

Шаг 1. Сделайте резервную копию

Перед любыми действиями создайте свежий бэкап файлов сайта и базы данных через панель управления хостингом.

Шаг 2. Если у вас VPS/VDS — закройте доступ к папке обновлений вручную

Клиентам виртуального хостинга этот шаг выполнять не обязательно (защита уже работает на уровне сервера), но для владельцев VPS/VDS перед обновлением критически важно запретить отдачу файлов из /wp-content/upgrade/:

• Для Apache (добавьте в начало корневого файла .htaccess):

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>

Используйте код с осторожностью.

• Для Nginx (добавьте в конфигурацию виртуального хоста):

location ^~ /wp-content/upgrade/ {
  deny all;
  return 403;
}

Используйте код с осторожностью.

Шаг 3. Обновите ядро WordPress

Перейдите в консоль управления сайтом (Консоль → Обновления) и установите актуальную версию движка (например, 7.1.4, 7.0.8 или 6.9.11 в зависимости от вашей ветки). В новых версиях механизм работы с временными файлами полностью переработан и безопасен.

Шаг 4. Проверьте сайт на наличие следов компрометации

Если WordPress на вашем сайте обновлялся в период с конца октября до сегодняшнего дня, обязательно проведите базовый аудит:

1. Зайдите в раздел «Пользователи» в админ-панели и проверьте, не появилось ли там незнакомых учетных записей с правами «Администратор».

2. Проверьте содержимое папки /wp-content/upgrade/ через файловый менеджер — в ней не должно оставаться посторонних папок или PHP-файлов после завершения обновлений.

Если при обновлении возникнут сложности или вы заметите подозрительную активность на сайте — напишите в нашу службу поддержки, специалисты помогут разобраться.