Патч WordPress для CVE-2026-119977 оставляет короткое окно атаки
Уязвимость CVE-2026-119977 затрагивает WordPress с 4.7 по 7.1.3 и уже используется злоумышленниками, предупреждают CISA, Wordfence и исследователь Picus Security Umut Bayram. WordPress выпустил исправление в версии 7.1.4 и обновлениях поддерживаемых веток, однако при установке патча некоторые сайты могут на несколько секунд остаться уязвимыми.
Проблема связана не с новым кодом исправления, а со старым механизмом обновления, который ещё работает на сайте в момент распаковки пакета. Поэтому безопасная последовательность действий перед обновлением особенно важна для администраторов публичных WordPress-инсталляций.
Как возникает окно для атаки
При обновлении ядра полным пакетом WordPress распаковывает новую версию во временный каталог внутри wp-content/upgrade. В пакете присутствуют файлы установщика, а веб-сервер обычно может обратиться к ним напрямую.
Если атакующий без учётной записи угадает имя временной папки и откроет установщик до её удаления, он может запустить код на сервере с правами веб-сервера. До исправления через временную копию можно было создать новый wp-config.php, который затем заменял рабочий файл сайта.
Исправление предотвращает копирование такого wp-config.php в основной каталог и вводит случайное имя временной папки. Но обновление, которое устанавливает этот патч, распаковывается старым кодом. На сайтах с WordPress 5.9 и новее старый механизм называет папку по имени скачанного файла, поэтому её можно предсказать ещё один раз.
Какие обновления подвержены риску
Не каждый пакет содержит доступный установщик. Полные пакеты включают эти файлы всегда, а частичные пакеты зависят от конкретной исходной версии и состава изменённых файлов. WordPress также может перейти на полный пакет, если контрольные суммы файлов ядра не совпадают или выполняется переустановка.
Версии 4.4–5.8 добавляют случайные символы к имени временного каталога. Это усложняет атаку, но не исключает её, если имя папки раскрывается, например, в сообщении об ошибке. WordPress 4.6 и более ранние версии больше не получают обновлений безопасности; для них требуется переход на поддерживаемую версию.
Что сделать перед установкой патча
Umut Bayram рекомендует сначала полностью закрыть веб-доступ к wp-content/upgrade. Сам WordPress работает с каталогом на диске, поэтому блокировка выдачи через веб-сервер не должна нарушить процесс обновления. После изменения конфигурации следует убедиться, что запрос к этому пути возвращает ошибку 403.
Для Nginx исследователь предлагает правило location ^~ /wp-content/upgrade/ { deny all; }. В Apache можно добавить Require all denied в блок Directory виртуального хоста, а при доступе только к .htaccess — разместить в корне сайта выше правил WordPress директиву RedirectMatch 403 ^/wp-content/upgrade/. Файл .htaccess внутри самого каталога создавать не стоит: старый обновлятор очищает папку перед распаковкой.
После блокировки нужно установить WordPress 7.1.4 либо исправленный релиз своей ветки. Команда wp core update в WP-CLI не является обходным вариантом, поскольку использует тот же механизм и ту же временную папку. Другой безопасный путь — вручную распаковать релиз вне web root, скопировать файлы ядра без замены wp-config.php и wp-content, а затем выполнить обновление базы данных.
Проверка после обновления
CISA внесло CVE-2026-119977 в каталог известных эксплуатируемых уязвимостей. Wordfence зафиксировала попытки атак через девять минут после развёртывания защитного правила в день выхода исправления; две наиболее активные группы источников проверяли небольшие наборы сайтов около 14,5 часа.
Администраторам сайтов, которые оставались на уязвимой версии после публикации патча, стоит проверить неожиданные обращения к PHP-файлам в wp-content/upgrade, неизвестные учётные записи администраторов, незнакомые плагины и посторонние PHP-файлы в этом каталоге. Практический вывод для бизнеса: обновление ядра следует проводить как контролируемую операцию — закрыть временный каталог от веб-доступа, создать резервную копию, установить патч и затем проверить журнал событий.