WPForms, WooCommerce, Jetpack — патчи с утечками и XSS

Прочитал в рассылке Sucuri, что в сентябре 2026-го вышли патчи для десятков плагинов WordPress — включая WooCommerce, WPForms, Jetpack и Rank Math. Среди них — уязвимости с высоким риском: от неавторизованного выполнения кода до утечек данных, которые можно эксплуатировать без входа в админку. Особенно тревожны три: SQL-инъекция в WooCommerce с правами магазина, XSS в WPForms через POST-параметр, и утечка данных в Rank Math без аутентификации.

Считаю, что самое важное — не количество уязвимостей, а то, что они массово эксплуатируются ботами. Всё, что можно сделать без входа в админку, уже сканируется. Если сайт с WPForms 1.9, а обновление 2.0.2.1 вышло три месяца назад — он уже в зоне риска. Я уже начал проверять всех клиентов с этими плагинами. У кого не обновлён — в план на неделю.

На мой взгляд, не стоит паниковать из-за «повышения привилегий» у All-in-One WP Migration, если админка не доступна извне. Но утечка данных в Rank Math без аутентификации — это уже тревожный сигнал. Даже если утечка не критична по содержанию, она даёт ботам информацию о структуре сайта. А это — первый шаг к более серьёзным атакам.

У себя сделал так: добавил проверку версий WooCommerce, WPForms и Jetpack в автоматический скрипт мониторинга. Если плагин не обновлён — сразу в чат с клиентом. У тех, у кого включена поддержка, это закрывается заранее. У остальных — в план на неделю. Пока не обновляю всех сразу: сначала проверяю, кто в зоне риска, а потом — по графику.