#wordpress
-
Уязвимость в ядре WordPress атакуют десятки тысяч раз в сутки сразу после выхода исправления
Злоумышленники начали эксплуатировать RCE-уязвимость в WordPress Core вскоре после выпуска патча. За 24 часа Wordfence заблокировала почти 63 тысячи попыток атак.
-
Украденные ключи UpdraftCentral использовали для взлома сайтов на WordPress
Злоумышленники взломали сайт TeamUpdraft и, похоже, похитили ключи UpdraftCentral, позволяющие отдавать команды подключённым сайтам. Под угрозой — около 400 тысяч ресурсов на WordPress.
-
SEO-плагин Rank Math PRO раздавал бэкдор прямо из официального канала обновлений
Копии платного плагина Rank Math PRO, скачанные или полученные в виде обновления с 20:02 UTC 15 октября по 07:12 UTC 16 октября, содержали вредоносный код. Сайты, где такую сборку установили и активировали, следует считать скомпрометированными.
-
Критическая уязвимость Ghostscript позволяет захватить сервер через загрузку PDF
Переполнение буфера в кучной памяти Ghostscript (CVE-2026-39919) открывает путь к удалённому выполнению кода через специально подготовленный PDF-файл. Под ударом в первую очередь оказались сайты на WordPress.
-
Критическая уязвимость плагина Bricksforge для WordPress эксплуатируется в дикой природе
Уязвимость CVE-2026-85097 с максимальной оценкой CVSS 10.0 позволяет неавторизованным злоумышленникам выполнять произвольный PHP-код на сайтах WordPress. По данным Patchstack, атаки начались 7 октября 2026 года.
-
CyberXero применил Claude Code в атаках на Украину: похищено свыше 628 000 записей
Исследователи SOCRadar раскрыли двухконтурную кампанию русскоязычного брокера доступа, который совмещал Cobalt Strike с оркестрацией на базе Claude Code и обходил защитные ограничения модели выдуманными «разрешениями на пентест».
-
Уязвимость CSRF в Elementor: один клик — и у атакующего права администратора
В популярном конструкторе сайтов для WordPress нашли брешь, позволяющую неаутентифицированному злоумышленнику создать чужую учётную запись администратора после клика жертвы по вредоносной ссылке.
-
Критическая RCE-уязвимость в WordPress: рекомендуется срочно обновиться
В WordPress нашли критическую уязвимость, при определённых условиях позволяющую неавторизованному злоумышленнику выполнить произвольный код. Патчи выпущены для актуальной ветки и бэкпортированы вплоть до версии 4.7.
-
Comment2Shell: комментарий в WordPress мог превратиться в захват сервера
Уязвимость в ядре WordPress позволяла анонимному посетителю оставить комментарий со скрытым скриптом, который срабатывал при открытии страницы администратором. Исправление вышло 17 сентября в версии 7.1.1.
-
Атака на цепочку поставок Brevo: похищенный ключ Cloudflare заражал сайты клиентов
Злоумышленники украли API-ключ Cloudflare и через пограничный воркер внедряли скрипты ClickFix в сайты Brevo и виджеты, встроенные на страницах клиентов. Пострадать могли до 100 тысяч сайтов.
-
Временная заплатка для PHP из 2014 года прожила 20 миллионов установок
Разработчик Джейк Смит объявил устаревшим свой полифилл http_build_url — 174 строки кода, написанные как временное решение для CMS компании AOL и разошедшиеся по миллионам сайтов.
-
Взлом разработчика Admin Menu Editor Pro превратил обновления в бэкдор на 1500 сайтах WordPress
Злоумышленник получил доступ к сайту разработчика популярного плагина и распространил вредоносные обновления, создающие скрытую учётную запись администратора. Пострадали как минимум 230 клиентов.
-
Малленвег вернулся в кресло CEO Automattic через два дня после отстранения
Основатель Automattic Мэтт Малленвег заявил, что снова управляет компанией — спустя двое суток после того, как совет директоров отправил его в оплачиваемый отпуск. Сам он говорит о попытке переворота.
-
Совет директоров Automattic отправил основателя Мэтта Мулленвега в отпуск против его воли
Мэтт Мулленвег, сооснователь WordPress и глава Automattic, заявил, что совет директоров отстранил его от должности без его согласия. Временным гендиректором стал финансовый директор Марк Дэвис.
-
5400 взломанных сайтов раздают ClickFix-нагрузку с блокчейна BNB
Крупная киберпреступная кампания использует тысячи скомпрометированных сайтов малого бизнеса, чтобы доставлять вредоносный код, спрятанный в смарт-контрактах тестовой сети BNB Smart Chain.
-
Критическая уязвимость Elementor Pro используется для захвата сайтов на WordPress
Недавно закрытая уязвимость CVE-2026-32475 в популярном плагине Elementor Pro позволяет загружать веб-шелл и выполнять произвольные команды на сервере. Wordfence уже заблокировал около 200 тысяч попыток атак.
-
Уязвимость в популярном плагине резервного копирования WordPress грозит захватом миллионов сайтов
SQL-инъекция в All-in-One WP Migration and Backup позволяет неаутентифицированному злоумышленнику выполнить код и получить полный контроль над сайтом. Обновились лишь около трети пользователей.
-
Пять критических уязвимостей в плагинах и темах WordPress грозят захватом сайтов
Исследователи Wordfence и Patchstack раскрыли пять критических брешей в популярных дополнениях WordPress — от обхода аутентификации до удалённого выполнения кода. Под угрозой WPMU DEV Dashboard, Avada, TranslatePress, Pods и GiveWP.
-
Уязвимость ownCloud использовали для кражи ядерных данных на Филиппинах
CISA внесла критическую брешь ownCloud в каталог эксплуатируемых уязвимостей после того, как китайскоязычная группа выкрала документы у филиппинского ядерного исследовательского центра.
-
Критическая уязвимость темы Avada для WordPress: RCE без единого клика
Цепочка из шести уязвимостей в популярной теме Avada позволяет неаутентифицированному злоумышленнику выполнить произвольный PHP-код на сервере. Проблему обнаружил ИИ-инструмент Wordfence менее чем за два часа.
- Дальше