WordPress 6.9.5 и 7.0.2: экстренное обновление из-за WP2Shell

В подборке за неделю встретил, что WordPress выпустил экстренные обновления из-за цепочки уязвимостей WP2Shell. Это не про плагины — это про ядро. Под угрозой стоковые установки на версиях 6.9.0–6.9.4 и 7.0.0–7.0.1. Атака даёт полный контроль без авторизации, даже без плагинов. Уже зафиксированы реальные атаки. Всё, что нужно — обновить.

Прочитал у WordPress, что вышла экстренная версия 6.9.5, 7.0.2 и 6.8.6. Закрыты две уязвимости в ядре: одна — в REST API /wp-json/batch/v1, другая — SQL-инъекция в параметре author__not_in. Вместе они позволяют выполнить код от анонимного пользователя. Под угрозой — стоковые установки без плагинов. Атака работает без учётной записи, на любом сайте, где не обновлён ядро. Вендор даже ввёл принудительные автообновления — это редкость, значит, серьёзно.

Считаю, что главный риск — не в том, что кто-то взломает сайт, а в том, что это произойдёт массово и незаметно. Боты уже сканируют по /wp-json/batch/v1. Если сайт не обновлён — он в списке жертв. Обновление — не «сделать, чтобы было хорошо», а «не потерять сайт». Атака не требует никаких условий, кроме устаревшей версии. Это не про «на всякий случай» — это про «сейчас или завтра».