Wordfence: Q2 2026 — 182 уязвимости с отсутствием авторизации

Пришло уведомление об обновлении WordPress-базы уязвимостей от Wordfence — и в Q2 2026 оказалось, что в среднем каждая третья уязвимость требует неаутентифицированного доступа для эксплуатации. Всего за квартал зафиксировано 2073 уязвимости, включая 182 высоких и 357 «часто используемых» — то есть тех, что легко находят боты. Особенно много проблем с XSS, SQL-инъекциями и отсутствием авторизации. Более 140 уязвимостей до сих пор не исправлены.

Считаю, что ключевое — не количество, а тип. Уязвимости, которые можно использовать без входа, это не просто «риск» — это открытая дверь. Особенно если сайт на старой версии плагина, который давно не обновляли. Это не про «хакеров, выбранных из списка» — это про боты, которые сканируют весь интернет. И если у вас нет защиты, они уже там.

На мой взгляд, важно не просто «проверить», а понять: если уязвимость не исправлена, а сайт открыт — он уже в зоне риска. Проверяю это первым делом у всех клиентов с устаревшими плагинами. Уже поставил в план на неделю — проверить все, где есть публичные формы, API или ввод данных от пользователя. Особенно те, что не требуют авторизации.

У себя сделал так: если у плагина есть уязвимость с отсутствием авторизации — даже если она не в списке «критичных», сразу включаю в приоритет. Не жду, пока кто-то начнёт писать. Скорость — это не про «быстро починить», а про то, чтобы не попасть в список тех, кто уже скомпрометирован. Уже начал обновлять WordPress у своих клиентов, где версия старше 6.4.