В WordPress 7.1.2 закрыта критическая уязвимость: что проверить владельцу сайта

22 сентября 2026 года вышел WordPress 7.1.2 — обновление безопасности, закрывающее критическую уязвимость. Разработчики рекомендуют обновить сайты сразу. Проблема получила обозначение CVE-2026-87902 и оценку 9,2 из 10 по шкале CVSS. WordPress News

Для владельца сайта главный вопрос сейчас — какая версия WordPress установлена и завершилось ли обновление успешно. Само сообщение об уязвимости не означает, что сайт уже взломан.

Что известно об уязвимости

Ошибка связана с тем, как WordPress определяет файл шаблона страницы. При определённых условиях злоумышленник без учётной записи может заставить сайт подключить доступный ему PHP-файл за пределами папки активной темы. Если одновременно выполняются дополнительные условия, связанные с темой и настройками сервера, это может привести к выполнению кода на сервере.

Таким образом, риск зависит от конфигурации конкретного сайта. Однако владельцу не стоит пытаться оценить безопасность только по внешнему виду сайта или названию установленной темы: исправление уже выпущено, и WordPress рекомендует его установить. WordPress News

Какие версии нужно проверить

Уязвимость затрагивает WordPress 7.1.0 и 7.1.1, а также ряд более ранних веток. Исправление включено в 7.1.2; для старых веток WordPress выпустил отдельные исправленные версии вплоть до ветки 4.7.

Если ваш сайт работает на старой ветке и получил обновление безопасности, это не означает, что дальнейшее использование устаревшей версии стало хорошей долгосрочной стратегией. WordPress напоминает, что активно поддерживает последнюю версию системы. WordPress News

Что сделать владельцу сайта

1. Проверить установленную версию

Войдите в панель WordPress и откройте «Консоль → Обновления». Убедитесь, что сайт работает на WordPress 7.1.2 либо на исправленной версии своей ветки. Если сайтом управляет разработчик или хостинг, запросите у него подтверждение установленной версии.

Автоматические фоновые обновления могли уже запуститься, но их результат всё равно следует проверить в панели сайта. WordPress News

2. Сделать резервную копию перед ручным обновлением

Сохраните файлы сайта и базу данных. Проверьте, где хранится копия и сможете ли вы восстановить из неё сайт. Официальная документация WordPress рекомендует создавать резервную копию перед обновлением. Documentation

3. Установить обновление безопасности

Если обновление ещё не выполнено, запустите его через раздел «Обновления» в панели WordPress. Если установка выдаёт ошибку, не считайте сайт защищённым только потому, что обновление было запущено: проверьте фактически установленную версию и обратитесь к специалисту или в поддержку хостинга. WordPress News

4. Проверить работу сайта после обновления

Откройте главную страницу и несколько внутренних страниц. Затем проверьте важные действия посетителя: отправку формы, переходы по меню, оформление заказа и оплату, если они есть на сайте. Зайдите в административную панель и убедитесь, что редактор страниц работает как обычно.

Для интернет-магазина или сайта с индивидуальными доработками такую проверку лучше провести сразу после установки обновления, пока возможную ошибку легко связать с изменением версии.

5. Проверить остальные обновления отдельно

Обновление WordPress не обновляет автоматически каждый плагин и тему. Посмотрите, есть ли для них доступные версии, и запланируйте установку с резервной копией и проверкой совместимости. Это общая мера обслуживания сайта, а не утверждение о том, что данная уязвимость находится в ваших плагинах. WordPress.org

Нужно ли проверять сайт на взлом?

Если на сайте обнаружены незнакомые учётные записи администраторов, неожиданные изменения страниц, перенаправления посетителей или подозрительные файлы, одного обновления недостаточно: потребуется проверка сайта и серверных журналов. При отсутствии таких признаков сам факт работы на уязвимой версии не доказывает, что злоумышленник получил доступ.

Приоритет для владельца сайта — проверить версию, установить исправление и убедиться, что сайт работает после обновления.