358 уязвимостей в WordPress за неделю: что делать

Обсуждали с коллегами отчёт Wordfence о новых уязвимостях в WordPress — за неделю зафиксировали почти 400 уязвимостей в плагинах и темах. Большинство — XSS и SQL-инъекции, а ещё есть критические уязвимости, позволяющие обойти авторизацию и повысить привилегии. Среди них — одна в ядре WordPress до версии 7.1, где можно вставить вредоносный код без входа в админку.

Прочитал, что за неделю в экосистеме WordPress было зарегистрировано 358 уязвимостей — в основном в плагинах и темах. Среди них — критические уязвимости, позволяющие обойти авторизацию, вставить произвольный код в страницы без прав админа и повысить привилегии. Особенно тревожит одна уязвимость в ядре до версии 7.1, где через обработку блоков можно внедрить скрипт без аутентификации. Это не просто «возможность взлома» — это прямой путь к заражению сайта, который боты начнут сканировать в течение часов.

Считаю, что самое важное здесь — не количество, а типы. Кросс-сайтовый скриптинг, SQL-инъекции, обход авторизации — это не «подозрительные» риски, а те, что сразу приводят к заражению. Уже не первый раз вижу, как сайты с устаревшими плагинами становятся точками входа для майнеров и вредоносного кода. А вот о том, что уязвимость в ядре уже закрыта — не говорится в отчёте, но факт: если у клиента старая версия, он в зоне риска. Насколько это серьёзно — зависит от того, насколько быстро он обновит.

Уже начал проверять версии у клиентов. У тех, у кого не обновлялись плагины и темы — поставил в план на неделю. У тех, у кого ядро старше 7.1 — сначала проверил, есть ли обновление, а потом уже планирую обновление. Если у кого-то включён автобэкап, то сначала сделаю резервную копию. Важно не просто обновить, а убедиться, что уязвимость закрыта, а не просто «поставил версию».