WordPress за неделю выпустил два обновления безопасности: 17 сентября — версию 7.1.1 с 11 исправлениями уязвимостей, 22 сентября — 7.1.2 с исправлением одной критической. Разработчики в обоих случаях советуют обновиться немедленно. Коротко — что закрыли и как проверить свой сайт.
Обновление 12.10.2026: 6 октября вышел WordPress 7.1.3 — ещё 7 исправлений безопасности, среди них XSS на странице модерации комментариев и SQL-инъекция при экспорте. Разработчики снова советуют обновиться немедленно; актуальная версия — 7.1.3 или новее.
Что исправили
По объявлению о 7.1.2, неавторизованный злоумышленник при определённых условиях мог заставить WordPress подключить выбранный PHP-файл с сервера вне папки темы. Если совпадают условия на сервере и в активной теме, это ведёт к удалённому выполнению кода — то есть к полному захвату сайта.
В версии 7.1.1 закрыли 11 уязвимостей. Среди них — внедрение скриптов через комментарии (XSS) от неавторизованного посетителя, обход путей в REST API и возможность для пользователя с ролью «Участник» перезаписать чужие записи. Плюс 36 обычных исправлений ядра и редактора.
Как проверить свой сайт
- Откройте Консоль → Обновления: там указана текущая версия. Нужна 7.1.2 или новее.
- Если сайт ещё на 7.1.0 или старше — нажмите «Обновить сейчас». Перед этим сделайте резервную копию.
- Посмотрите, включены ли автоматические обновления: на той же странице есть строка про автообновления ядра. Исправления безопасности WordPress по умолчанию ставит сам, но на многих сайтах это отключено плагинами оптимизации или хостингом.
Наш вывод
Ядро WordPress обновляется быстро и чаще всего само. Настоящая дыра на большинстве сайтов — в плагинах и темах, которые годами не обновлялись: у них нет автообновлений, и их уязвимости никто не закрывает. Проверяя сайт после этих релизов, загляните и в Плагины: всё, у чего нет обновлений больше года, стоит заменить или удалить. Как искать следы взлома, если сайт уже вёл себя странно, — в статье как проверить сайт на вирусы.
Источники: WordPress 7.1.2 Release, WordPress 7.1.1 Maintenance and Security Release. Проверено 29 сентября 2026 года.
