Обновление безопасности WordPress 7.1.4

🎧 Подкаст · Светлана

Кратко: WordPress 7.1.4 (28.10.2026) — обновление безопасности, закрывающее удалённое выполнение кода, XSS и ошибки прав. Установите последнюю версию безопасности своей ветки, обновите или удалите Bricksforge, Prime Mover, WPOrLogin и Stape и сделайте резервную копию перед обновлением.

WordPress 7.1.4 вышел 28 октября 2026 года, и это обновление безопасности: оно закрывает, в частности, риск удалённого выполнения кода (RCE), несколько хранимых XSS в блоках и Interactivity API и ошибку прав роли модератора комментариев. WordPress рекомендует обновиться сразу. На той же неделе нашли несколько критических уязвимостей в популярных плагинах, и одну из них (Bricksforge) уже используют в атаках. Ниже — сводка для предпринимателя в Эстонии: что случилось, кого это касается и что сделать сегодня.

Что исправляет WordPress 7.1.4?

Удалённое выполнение кода (RCE): самый опасный тип уязвимости, через который злоумышленник может получить контроль над всем сайтом.
Хранимые XSS в нескольких блоках и функциях Interactivity API: вредоносный скрипт может остаться на странице и запуститься в браузере посетителя или администратора.
Ошибка прав у роли модератора комментариев.
Утечка информации и слабые места авторизации, позволяющие видеть или менять данные, к которым у пользователя не должно быть доступа.

Число исправленных уязвимостей в источниках разное (от 13 до 22), потому что часть ошибок касается только новых версий. Важно, что WordPress перенёс исправления и в старые ветки: 28 октября, например, вышла и версия 6.0.18. Поэтому не каждому сайту нужно сразу переходить на 7.x, но последняя версия безопасности своей ветки должна быть установлена.

Как проверить, обновлён ли ваш сайт?

Зайдите в админку и откройте Консоль → Обновления. Если там написано «Доступна новая версия WordPress», сайт не обновлён.
Откройте Инструменты → Здоровье сайта: там видны версии WordPress, PHP и плагинов. См. наше руководство WordPress Health Check и «Здоровье сайта».
Проверьте, включены ли автоматические обновления безопасности. По умолчанию WordPress ставит малые версии сам, но многие хостинги и плагины это отключают.
Перед обновлением сделайте резервную копию, а после проверьте контактную форму, корзину и оплату в интернет-магазине.

Критические уязвимости плагинов на этой неделе

Bricksforge: уязвимость уже используют в атаках

Ошибка в плагине Bricksforge для Bricks Builder (CVE-2026-85097, CVSS 9,8–10) позволяет злоумышленнику без авторизации загрузить на сервер PHP-файл и выполнить его, то есть фактически захватить сайт. Patchstack зафиксировал первые попытки атак ещё 7 октября. Уязвимы версии до 3.1.8.9, исправление — в версии 3.1.8.10.

Prime Mover (резервное копирование и перенос)

Внедрение PHP-объекта (CVE-2026-115806, CVSS 9,8) во всех версиях до 2.2.1. Злоумышленник может спрятать вредоносный объект в обычном комментарии, и он сработает, когда администратор запустит экспорт или восстановление.

WPOrLogin

Ошибка (CVE-2026-110691) позволяет неавторизованному злоумышленнику сменить адрес входа и заблокировать администратора. Исправлено в версии 3.1.0.

Stape и десятки других плагинов

Плагин Stape 13 октября удалили из каталога WordPress.org, новой версии нет, поэтому его стоит удалить или заменить. Только за 22–24 октября опубликовано более 50 новых CVE для плагинов. Большинство из них пока не замечены в атаках, но после публикации уязвимости это обычно быстро меняется.

Что сделать сегодня: чек-лист

Обновите WordPress до последней версии безопасности своей ветки (7.1.4 или соответствующий выпуск старой ветки).
Если используете Bricksforge, Prime Mover или WPOrLogin, обновите их сразу или отключите.
Удалите неактивные плагины и темы: файлы отключённого плагина всё равно лежат на сервере.
Проверьте учётные записи администраторов: нет ли незнакомых пользователей?
Убедитесь, что резервные копии делаются автоматически и хранятся вне сервера.
Обновите и версию PHP, если хостинг предлагает версию с исправлениями безопасности.

Если сайт уже ведёт себя странно (чужие ссылки, редиректы, новые администраторы), смотрите услугу лечения взломанного сайта. Если хотите, чтобы обновления всегда делались безопасно и с проверкой, смотрите обновление WordPress и ежемесячное обслуживание WordPress. На этой же неделе: что нового в WordPress 7.2 и новости браузеров для веб-разработчиков.

Часто задаваемые вопросы

Что такое WordPress 7.1.4?

Это обновление безопасности WordPress от 28 октября 2026 года. Оно закрывает риск удалённого выполнения кода, несколько хранимых XSS и ошибки прав доступа. WordPress рекомендует обновиться сразу.

Нужно ли сразу переходить на WordPress 7.x?

Не обязательно. WordPress переносит исправления безопасности и в старые ветки. Важно установить последнюю версию безопасности своей ветки, а переход на новую крупную версию лучше сначала проверить на копии сайта.

Как понять, стоит ли на сайте опасный плагин?

Откройте в админке раздел «Плагины» и найдите Bricksforge, Prime Mover, WPOrLogin и Stape. Версии всех плагинов также видны на вкладке «Информация» в «Здоровье сайта».

Безопасны ли автоматические обновления?

Малые версии безопасности обычно безопасны. Автообновление плагинов и крупных версий может сломать дизайн или магазин, поэтому нужны резервная копия и проверка после обновления.

Что делать, если сайт уже взломан?

Ничего не удаляйте, пока не сделана копия. Смените пароли, проверьте пользователей и обратитесь к разработчику, который очистит файлы, найдёт точку проникновения и обновит ПО.

Не уверены, что ваш сайт в безопасности? Сделайте бесплатный аудит сайта или напишите нам, и мы проверим WordPress, плагины и версию PHP.

Источники

Метки: WordPress, Безопасность, Новости