WordPress: безопасное обновление и CVE-2026-119977
Проверка версии, защита временного каталога, резервная копия и контроль сайта после обновления.
CVE-2026-119977: риск во время обновления
В неисправленных выпусках WordPress обновление ядра полным пакетом может открыть короткое окно для выполнения чужого кода без авторизации. Причина связана с предсказуемыми, доступными через веб временными путями распаковки. Для эксплуатации нужно попасть в это окно; сама по себе старая версия еще не доказывает взлом сайта.
На 6 ноября 2026 года исправление есть в WordPress 7.1.4 и отдельных выпусках старых веток. Например, для 7.0 это 7.0.8, для 6.9 — 6.9.11. Проверяйте точный выпуск своей ветки, а не только условие «ниже 7.1.4». Старый номер основной ветки может уже содержать исправление.
Официальный выпуск WordPress 7.1.4 · Описание CVE и исправленные версии по веткам.
До обновления
Нахожу установки WordPress, включая подкаталоги и тестовые копии. Проверяю версии ядра, PHP, темы и плагинов, доступность сайта из сети и способ обновления. Для каждого сайта определяем совместимый исправленный выпуск и окно работ.
Сохраняю файлы и базу данных, согласуем порядок восстановления. Проверку обновления выполняем на отдельной копии. Для магазина или другого изменяющегося сайта отдельно учитываем заказы и записи, появившиеся после резервного копирования.
Защита временного каталога
До запуска обновления проверяю, закрыт ли веб-доступ к временному каталогу WordPress wp-content/upgrade/. Ограничение настраивается в конфигурации того веб-сервера, который действительно обслуживает запросы: правило в .htaccess само по себе не защищает сайт, если запрос обрабатывает nginx.
Проверяю фактический адрес каталога и настройки прокси, затем ответ сервера. Отсутствие файлов или ответ 404 на случайный путь не доказывают, что доступ запрещен. Это дополнительная мера на время обновления, а не замена установке исправления.
Обновление и приемка
Обновляю ядро до согласованного исправленного выпуска и проверяю установленную версию. Обновления тем и плагинов проверяем отдельно, чтобы возможную несовместимость было проще обнаружить.
После изменения проверяем страницы, вход в административную часть, формы, поиск и другие важные сценарии. Для магазина добавляем оформление заказа по согласованному плану. Контролирую ошибки в журналах и результат работы фоновых задач.
Если есть подозрительные файлы
Проверяю временный каталог на оставшиеся исполняемые файлы. Находку сохраняем для разбора: удалять все подряд или считать любой PHP-файл доказательством взлома нельзя. При признаках компрометации отдельно определяем границы инцидента; обновление ядра само по себе не удаляет уже оставленный вредоносный код.
Перенос WordPress
Если вместе с обновлением нужен перенос, подготавливаю файлы, базу, HTTPS и DNS на новом месте. Копию проверяем до переключения домена. Порядок восстановления и сохранения новых данных согласуем заранее.