319 уязвимостей в плагинах WordPress за неделю

Подписан на их блог — вышла запись про уязвимости в WordPress-плагинах за неделю. За семь дней в базе Wordfence появилось 319 уязвимостей в 222 плагинах. Большинство — критические или высокие: XSS, SQL-инъекции, обход авторизации, путь к файлу вне директории. Особенно тревожит одна в Core: неаутентифицированный доступ к файлам через path traversal в функции locate_template() — если плагин или тема использует её небезопасно, злоумышленник может читать любые файлы на сервере, включая конфиги и пароли.

Считаю, что это не просто «ещё одна волна» — это сигнал: если у вас нет автоматического мониторинга уязвимостей, вы уже находитесь в зоне риска. Даже если плагин кажется «непопулярным», он может быть в цепочке атаки: боты сканируют всё подряд. Ключевое — не просто «обновить», а понять, где именно в коде лежит уязвимость. Проблема не в отдельной уязвимости, а в том, что они накапливаются, а потом всплывают одновременно.

Я уже начал проверять список уязвимостей у своих клиентов — смотрю, какие плагины установлены, и если в базе есть патч, сразу ставлю в план на неделю. Если патча нет — отключаю плагин и ищу замену. У клиентов на поддержке это закрывается заранее, пока не стало критичным. Следующий шаг — включить в проверку и темы, особенно те, что не обновлялись годами.

На мой взгляд, важнее не количество уязвимостей, а то, что они ведут к одной и той же цели: доступ к серверу. И если у вас нет системы предупреждений, вы узнаете о взломе, когда уже будет поздно. Поэтому я не просто обновляю — я проверяю, где может быть дыра, и закрываю её. А потом смотрю, не появился ли майнер или вредоносный код в HTML-страницах. Это уже не «а что, если» — это «когда».