WordPress 7.1.2: критическая уязвимость в ядре исправлена

Пришло уведомление об обновлении — WordPress 7.1.2 вышла с исправлением критической уязвимости в ядре. Она позволяет неавторизованным злоумышленникам получить доступ к произвольным PHP-файлам вне темы, если на сайте есть определённая структура папок и доступный файл. Уязвимость оценена как Critical (CVSS 9.2), и её можно использовать для удалённого выполнения кода, если совпадут условия: тема с папкой page-*, и на сервере — читаемый PHP-файл с полезным поведением. Исправление доступно в 7.1.2 и во всех ветках с 4.7.

Считаю, что это серьёзно — не потому что уязвимость работает на всех сайтах, а потому что она в ядре, не требует аутентификации и доступна из интернета. Даже если сейчас не удастся выполнить код, сам факт, что можно прочитать файл вне темы, — это тревожный сигнал. Уязвимость не исчезает сама, она остаётся до обновления.

На мой взгляд, важнее не то, что уязвимость не работает на всех, а то, что она может появиться в любой момент, если кто-то изменит тему или настроит сервер. Пока сайт не обновлён — он в зоне риска. А вредоносные метки в VirusTotal могут появиться уже после первого сканирования.

Уже начал обновлять WordPress у всех клиентов, у которых версия ниже 7.1.2. Проверяю, что обновление прошло успешно. У тех, у кого включена поддержка, защита уже работает. У остальных — до 22 октября, когда придет правило в Wordfence Free. Но обновление — это не замена, а первая линия обороны.