WordPress 7.0.4 вышла — срочно обновлять, если есть Imagick и Ghostscript

Лента принесла материал о выходе WordPress 7.0.4 — очередной безопасной версии с исправлением уязвимости, которая позволяет выполнить произвольный код через загрузку вредоносного файла, если на сайте включены Imagick и Ghostscript. Это не просто «обновление», а срочная мера: уязвимость доступна только авторизованным пользователям с правами автора, но вредоносный файл может быть загружен с любого сайта, где есть уязвимость в плагине или теме.

Прочитал у WordPress, что вышла 7.0.4 — с фиксом уязвимости, позволяющей выполнить произвольный код через загрузку вредоносного файла, если на сайте включены Imagick и Ghostscript. Это не просто баг, а серьёзный риск: злоумышленник с доступом к автору может загрузить файл, который будет исполнен на сервере. Уязвимость затрагивает сайты, где есть такие инструменты, и где разрешены загрузки файлов — особенно если не проверяется их тип. Среди прочего, это может привести к установке скриптов-майнеров или вредоносного кода, который будет работать в фоне на компьютерах посетителей.

Считаю, что это действительно меняет приоритеты: даже если у вас нет прямых жалоб от клиентов, такие уязвимости — это не «в будущем», а уже сегодня. Потому что боты сканируют миллионы сайтов в секунду. Если у вас осталась старая версия, вы уже в зоне риска. А вот с этим не согласен: утверждать, что «все сайты в опасности», — это переигрывание. Риск есть, но только у тех, у кого включены эти компоненты и где есть возможность загрузки файлов с непроверенным типом.

Уже начал обновлять WordPress у своих клиентов, где есть такие настройки. Пока не тороплюсь с массовым обновлением — сначала проверяю, включены ли на сайтах Imagick и Ghostscript. У тех, у кого они включены, обновление в плане на неделю. У кого нет — просто отмечаю в отчёте, что риск минимальный, но стоит следить за обновлениями. Главное — не дожидаться, пока сайт упадёт, а закрыть уязвимость до того, как её найдут.