Александър Тодоров „Коментар“ WordPress отново е под прицел: защо уязвимостите в ядрото са по-опасни от тези в плъгините
През последните месеци WordPress отново се превърна в основна мишена за киберпрестъпници, но този път атаките не са насочени към популярни плъгини или теми, а директно към ядрото на системата. Според данни на CISA и националните CERT центрове множество критични уязвимости от типа „remote code execution“ са били активно експлоатирани в реални условия, засягайки милиони уебсайтове по света.
За разлика от познатите проблеми с остарели добавки, уязвимостите в ядрото засягат дори напълно редовно поддържани инсталации. Един от най-сериозните случаи – веригата от уязвимости, известна като „wp2shell“ (CVE-2026-63030 и CVE-2026-60137) – позволява на неавтентикиран нападател да изпълни произволен код на сървъра, без да се нуждае от акаунт или специфична конфигурация. Друг критичен проблем (CVE-2026-119977) е свързан със „състояние на състезание“ по време на обновяване на ядрото, което отваря кратък, но достатъчен прозорец за компрометиране на сайта.
Практиката показва, че автоматичните обновявания не винаги са достатъчни. При някои от уязвимостите експлойти са се появили в рамките на часове след пускането на кръпката, а при други – като CVE-2026-87902 – атаките са започнали само пет часа след публикуването на поправката. Това означава, че разчитането единствено на автоматично обновяване на фона може да остави сайта уязвим за кратък, но решаващ период.
Нашата позиция е ясна: виждаме тенденция атакуващите да инвестират ресурси в откриването на недостатъци в самата основа на WordPress, а не в отделни разширения. Това променя правилата на играта. Задължително е администраторите не само да обновяват, но и да проверяват дали обновяването е приключило успешно, както и да следят за индикатори за компрометиране – например необичайни PHP файлове в директории като /wp-content/cache/ или нови администраторски акаунти. Пасивната защита вече не е достатъчна.
Препоръките за незабавни действия включват проверка на версията на ядрото и уверяване, че WordPress е обновен до най-новата стабилна версия, която адресира известните критични уязвимости. Необходимо е още преглеждане на логовете за следи от опити за експлоатация, особено POST заявки към REST API крайни точки или необичайна активност по време на обновяване. Следва да се сканира и за уеб шелове – непознати .php файлове, особено в директории за кеш или временни папки, които не са част от активната тема. Ако не може да се обнови незабавно, е препоръчително да се конфигурират правила за уеб приложен филтър, които блокират достъпа до познатите уязвими пътища или подозрителни заявки.
Сигурността на WordPress вече не е въпрос само на „добри плъгини“, а на хигиена на ядрото и бдителност по време на обновяване. Организациите, които поддържат уеб присъствие, трябва да третират всяко обновяване на ядрото като потенциален прозорец за атака и да проверяват резултата от него, а не просто да натискат бутона „Update“.