Уязвимости в плагинах WordPress: октябрь 2026 г., что проверить

В октябре 2026 года три плагина WordPress получили срочные исправления безопасности, а один из них атакуют с 7 октября. Кроме того, 28 октября вышел WordPress 7.1.4, который закрывает ошибку в самом механизме обновлений. Если сайт Вашей компании работает на WordPress, уделите ему сегодня 15 минут.

Я пишу, что произошло, как без программиста проверить, подвержен ли Ваш сайт угрозе, что сделать сразу и что поручить хостингу или исполнителю сайта. Актуально на 30 октября 2026 года. Версии с исправлениями ещё могут измениться, поэтому перед обновлением загляните на сайт производителя плагина.

Что произошло: три плагина, один уже атакуют

Плагины — это дополнения, которые дают WordPress формы, бронирование или более быструю загрузку. Каждый из них представляет собой чужой код, работающий на Вашем сервере. Если автор допустит ошибку, посторонний может ею воспользоваться, часто без входа в систему.

Bricksforge (CVE-2026-85097): атакуют с 7 октября

Bricksforge — платное дополнение к конструктору сайтов Bricks, которое покупают у производителя, а не в каталоге wordpress.org. Ошибка в модуле форм Pro Forms позволяла человеку без учётной записи загрузить файл на сервер и запустить собственный код PHP, то есть на практике захватить сайт. Компания Patchstack, которая описала атаки, оценила уязвимость в 10 баллов по шкале CVSS от 0 до 10, а Wordfence, присвоивший ей номер CVE, в 9,8. В предупреждении Patchstack я читаю, что первые попытки атаки зафиксировали 7 октября поздно вечером с 63 разных IP-адресов.

Patchstack указывает в качестве версии с исправлением 3.1.8.10. Согласно списку изменений производителя, исправление есть и в 4.0.0, версия 4.0.1 от 8 октября закрывает ещё одну ошибку в загрузке файлов через Pro Forms, а 4.0.2 от 13 октября добавляет дополнительные меры защиты, в том числе папки для временных файлов форм. Поэтому я рекомендую обновиться до 4.0.2 (последняя версия на 30 октября) или новее.

LatePoint (CVE-2026-110653): учётные записи клиентов системы бронирования

LatePoint служит для записи на приём и, согласно странице плагина на wordpress.org, имеет более 100 тыс. активных установок. В версиях до 5.7.4 человек, знавший e-mail или номер телефона клиента, мог обойти ограничение числа попыток при входе по одноразовому коду и войти в его учётную запись: увидеть бронирования и персональные данные. Исправление есть в версии 5.7.5 от 16 октября. Версия 5.7.6 от 26 октября закрывает ещё одну, менее опасную ошибку, поэтому лучше сразу установить последнюю. В базе Patchstack до 30 октября нет информации об атаках.

10Web Booster (CVE-2026-108587): загрузка файлов без входа в систему

10Web Booster ускоряет сайт и сжимает изображения. По данным wordpress.org, он работает более чем на 60 тыс. сайтов. В версиях до 2.34.10 посторонний человек мог при определённых условиях загрузить файл на сервер и запустить код. Описания уязвимости связывают её с приостановленной массовой оптимизацией изображений, но не считайте, что Вас это не касается. Исправление: версия 2.34.11. Patchstack оценивает атаки как вероятные, хотя до 30 октября они не были подтверждены.

Кого это касается

• Сайтов с любым из этих плагинов, даже отключённым. Отключённый плагин по-прежнему лежит на сервере.
• Сайтов, сделанных агентством или фрилансером, в панель которых никто не заглядывает. Bricksforge — инструмент для тех, кто строит сайты в Bricks, поэтому его обычно устанавливает исполнитель, а владелец компании может даже не знать, что он у него есть.
• Сайтов с платными плагинами после истечения лицензии. Платные дополнения не из wordpress.org обычно обновляются только с активным лицензионным ключом. Без него панель может вообще не показать, что есть новая версия.

Если Ваш сайт не на WordPress, эта статья Вас не касается. Не знаете, на чём он работает? Я объясняю это в готовящейся статье «Как проверить версию PHP и узнать, на чём работает Ваш сайт».

Как проверить свой сайт за 15 минут без программиста

Вам нужна учётная запись администратора в WordPress. Названия пунктов меню я привожу для панели на русском языке, а в скобках для польской.

1. Список плагинов. Откройте Плагины → Установленные (Wtyczki → Zainstalowane wtyczki). Рядом с каждым плагином видна его версия. Найдите Bricksforge, LatePoint и 10Web Booster и сравните версию с таблицей выше.
2. Ожидающие обновления. В разделе Консоль → Обновления (Kokpit → Aktualizacje) Вы увидите версию WordPress и плагины, у которых есть более новые выпуски. Если что-то ждёт там неделями, это знак, что за сайтом никто не следит.
3. Автоматические обновления. В списке плагинов есть колонка с настройкой автоматических обновлений. Проверьте, у каких плагинов они включены. Согласно документации, WordPress устанавливает их два раза в день, но только если работает его планировщик задач (WP-Cron). Проблемы с планировщиком покажет раздел Инструменты → Здоровье сайта (Narzędzia → Stan witryny).
4. Учётные записи администраторов. Откройте Пользователи → Все пользователи (Użytkownicy → Wszyscy użytkownicy) и нажмите фильтр «Администратор». Каждая учётная запись, которую Вы не узнаёте, даёт повод для беспокойства. Частый след взлома — новый администратор с именем, похожим на техническое, например «support» или «wpadmin».
5. Сканер безопасности. Если у Вас есть плагин безопасности (например, Wordfence) или сканер в панели хостинга, запустите полное сканирование. Вы ищете изменённые файлы WordPress и PHP-файлы в каталоге для изображений (wp-content/uploads). PHP-файлов там быть не должно.

Если все плагины в безопасных версиях, администраторов Вы знаете, а сканер ничего не нашёл, можно выдохнуть. Если что-то не сходится, переходите к следующим разделам.

Что сделать сегодня

• Сделайте резервную копию файлов и базы данных, лучше всего в панели хостинга или с помощью плагина для копий. Если плагин атакуют уже несколько недель, не откладывайте обновление «на после выходных»: копия и обновление занимают несколько минут.
• Обновите плагины из таблицы. Bricksforge Вы скачиваете из учётной записи у производителя или обновляете в панели после ввода лицензионного ключа. Переход с версии 3.x на 4.x — большое изменение, поэтому после него отправьте пробное сообщение через каждую форму.
• Удалите плагины, которыми не пользуетесь. Одного отключения недостаточно. Меньше плагинов означает меньше мест, где может появиться уязвимость.
• Включите автоматические обновления простых плагинов, если у Вас есть ежедневная копия. Плагины бронирования, платежей и магазина я обновляю вручную, но исправления безопасности устанавливаю в течение дня-двух. Порядок шагов и аварийный план я описываю в руководстве как безопасно обновить WordPress.
• Смените пароли администраторов и включите двухфакторный вход, если Bricksforge в уязвимой версии работал у Вас после 7 октября. Кроме того, закажите сканирование файлов, описанное ниже, потому что одна смена паролей не удалит файл, подброшенный злоумышленником.

Кстати: WordPress 7.1.4 от 28 октября

28 октября вышел WordPress 7.1.4, который исправляет 22 уязвимости. Самая серьёзная из них — ошибка в процессе обновления ядра, которая могла привести к запуску чужого кода на сервере. Wordfence сообщает, что попытки её эксплуатации появились уже через несколько часов после выхода исправления. Согласно описанию выпуска на wordpress.org, исправления попали и в более старые ветки, например 7.0.8 и 6.9.11, а WordPress 4.6 и более ранние версии больше не получают заплаток безопасности.

Проверьте в разделе Консоль → Обновления, какая у Вас версия. Такие исправления обычно устанавливаются сами, но только если никто не отключил автоматические обновления ядра.

Что поручить хостингу или исполнителю сайта

Часть задач требует доступа к серверу. Это работа для хостинга или человека, который поддерживает сайт:

• просмотр журналов сервера на предмет запросов к формам Bricksforge с 7 октября (Patchstack указывает адрес /wp-json/bricksforge/v1/form_submit),
• поиск PHP-файлов в каталоге wp-content/uploads, в том числе в папке wp-content/uploads/bricksforge/tmp/, и файлов с именами, начинающимися на login_admin_,
• запрет запуска PHP в каталоге для изображений, то есть простое правило сервера, которое затрудняет многие атаки такого типа,
• включение файрвола веб-приложений (WAF) с правилами для новых уязвимостей; бесплатная версия Wordfence получает новые правила с 30-дневной задержкой (правило для уязвимости из WordPress 7.1.4 она получит 27 ноября), поэтому при продолжающихся атаках важнее всего обновление,
• подтверждение резервной копии вне сервера сайта и указание даты последней успешной копии.

Сообщение, которое можно скопировать:

Здравствуйте, в октябре вышли исправления безопасности плагинов Bricksforge (CVE-2026-85097), LatePoint (CVE-2026-110653) и 10Web Booster (CVE-2026-108587), а также WordPress 7.1.4. Прошу проверить, есть ли на нашем сайте [адрес] какой-либо из этих плагинов и обновлён ли он, просмотреть учётные записи администраторов, просканировать файлы и сообщить, когда была сделана последняя резервная копия. Прошу коротко подтвердить по e-mail, что было сделано.

Если Вы не знаете, кто у Вас отвечает за обновления, я вернусь к этому в готовящейся статье «Обновление сайта: кто за него отвечает, хостинг или исполнитель?».

Если Вы видите следы взлома

Незнакомый администратор, PHP-файлы в каталоге для изображений, странные перенаправления или предупреждение в Google указывают на то, что кто-то уже побывал на Вашем сайте. Тогда одного обновления недостаточно: оно закрывает дверь, но не выгоняет злоумышленника. План на первый час я описываю в статье Взломанный WordPress: что делать.

Если на сайте есть учётные записи клиентов, например в LatePoint, и кто-то мог получить к ним доступ, поговорите с человеком, который отвечает в компании за GDPR (RODO). О нарушении защиты персональных данных сообщают в UODO (Urząd Ochrony Danych Osobowych, польское Управление по защите персональных данных) без неоправданной задержки, по возможности в течение 72 часов с момента его обнаружения, если только нарушение вряд ли создаст риск нарушения прав или свобод людей, которых касаются данные (ст. 33 GDPR). Это не юридическая консультация, а лишь сигнал, чтобы не пропустить срок.

Итог

В октябре один плагин попал под атаки, а ещё два получили срочные заплатки. Проверьте список плагинов, учётные записи администраторов и версию WordPress, удалите то, чем не пользуетесь, и установите, кто у Вас отвечает за обновления.

Если Вы предпочитаете не следить за этим самостоятельно, я беру это на себя в рамках технической поддержки. В пакете «Дежурство» (от 149 зл без НДС в месяц) я устанавливаю срочные обновления безопасности за 2 дня и каждую неделю делаю копию вне сервера, Standard (от 349 зл без НДС) даёт ежедневную копию и реакцию в течение 1 рабочего дня, а Pro (от 749 зл без НДС) реакцию в течение 4 часов. Состояние защиты я проверю в рамках аудита безопасности (от 990 зл без НДС), а сервер и приложение укреплю в рамках услуги «Кибербезопасность проекта». Напишите мне, отвечаю в течение 24 часов.