🚨 Критическая уязвимость в WordPress: требуется срочное обновление

22 сентября 2026 года команда безопасности WordPress выпустила экстренный релиз 7.1.2, закрывающий критическую уязвимость CVE-2026-87902 (CVSS 9.2).

Суть проблемы: неавторизованный злоумышленник может через параметр pagename заставить ядро WordPress подключить произвольный PHP-файл за пределами директории активной темы. При определённых настройках сервера и темы это приводит к удалённому выполнению кода (RCE) и полному захвату сайта.

Кого затрагивает: все версии WordPress до 7.1.1 включительно. Уязвимость существует с версии 4.7.

Что делать:

Немедленно обновите WordPress до версии 7.1.2 или установите последний security-патч для вашей ветки (исправления бэкпортированы вплоть до 4.7.37).

Ссылки:
* Официальный анонс WordPress 7.1.2 https://wordpress.org/news/2026/09/wordpress-7-1-2-release/
* Security Advisory GHSA-7hp8-65ch-5whp https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
* Разбор CVE-2026-87902 https://github.com/abraxas/CVE-2026-87902