Выпуск WordPress 6.0.3 содержит заплатки для 16 уязвимостей

Выпуск WordPress 6.0.3 содержит заплатки для 16 уязвимостей

Выпуск WordPress 6.0.3 содержит заплатки для 16 уязвимостей

Вышла новая сборка ядра WordPress с большим набором патчей. В CMS совокупно устранили 16 уязвимостей, в том числе девять XSS. Прочие проблемы связаны с наличием открытого редиректа, возможностей для раскрытия данных, межсайтовой подмены запросов, SQL-инъекций.

В анонсе представлен только перечень закрытых уязвимостей, краткую характеристику каждой дала команда Wordfence из Defiant в своем блоге. Четыре дыры оценены как очень опасные, остальные — как средней или низкой степени опасности.

В Wordfence провели анализ и пришли к выводу, что вероятность использования какой-либо новой проблемы для массового взлома сайтов ничтожна. Тем не менее, некоторые из них способны привлечь внимание хакеров, отдающих предпочтение целевым атакам.

Самой перспективной для эксплойта исследователи сочли возможность межсайтового скриптинга, позволяющую без аутентификации внедрить на страницу вредоносный JavaScript-код (отраженная XSS посредством SQL-инъекции). Атака осуществляется путем подачи особого запроса на поиск в каталоге файлов мультимедиа, загруженных на сайт. Создание пейлоада, со слов экспертов, потребует определенных усилий, к тому же придется прибегнуть к социальной инженерии, но опытному хакеру это вполне по силам.

Еще одна уязвимость высокой степени опасности классифицируется как хранимая XSS. Эксплойт требует прав на создание записей на целевом WordPress-сайте с помощью имейл и позволяет внедрить JavaScript, отрабатывающий при получении доступа к вредоносному постингу.

Виновником появления проблемы является файл /wp-mail.php, отвечающий за обработку имейл-запросов на добавление записей: как оказалось, сценарий не предусматривал проверку уровня доступа источника и потому не проводил санацию в тех случаях, когда пользователь не обладал правами на передачу нефильтрованных данных.

Третья опасная уязвимость относится к классу SQLi; она не связана с каким-либо дефектом ядра CMS, эксплойт в данном случае осуществляется с помощью посредника — стороннего плагина или темы. Как оказалось, при выполнении запросов с использованием класса WP_Date_Query санация данных производилась недостаточно тщательно.

Четвертая уязвимость высокой степени опасности представляет собой CSRF — возможность подделки межсайтовых запросов. Эксплойт не требует аутентификации и позволяет запустить трекбэк-механизм WordPress (уведомление о привязке к веб-документу) от имени другого пользователя.

Анализ выявил изъян в реализации этой функциональности: недостаточно четкое различение пользователей, вызывающих wp-trackback.php — их идентификация производилась по куки-файлам, передаваемым вместе с запросом. Из-за этого злоумышленник мог, используя социальную инженерию, заставить жертву совершить нужное действие и выдать себя за нее.

Релиз WordPress 6.0.3 уже раздается в автоматическом режиме тем, кто избрал такой способ обновления; остальные могут загрузить его с сайта WordPress.org или через админ-панель. Выпуск новой мажорной версии CMS (6.1) запланирован на 1 ноября.

Путин поручил запустить пилот по обучению ИИ и информационной безопасности

Владимир Путин поручил запустить в Московской области пилотный проект по обучению технологиям искусственного интеллекта и информационной безопасности. Соответствующие поручения опубликованы на сайте Кремля по итогам заседания Госсовета.

Проект правительство должно реализовать совместно с властями региона. Доклад о его запуске президент ожидает до 1 июля — его представят премьер-министр Михаил Мишустин и губернатор Подмосковья Андрей Воробьёв.

Кроме того, к 15 июля поручено включить компетенции в сфере ИИ в образовательные и профессиональные стандарты. Речь идёт о том, чтобы навыки работы с искусственным интеллектом стали частью формальной системы подготовки специалистов.

Отдельно поставлена задача организовать программы повышения квалификации для преподавателей и учителей по направлениям ИТ и ИИ — с участием технологических компаний.

Тема развития искусственного интеллекта ранее уже звучала на федеральном уровне. В ноябре, выступая на конференции AI Journey-2025, президент заявил о необходимости создать штаб по управлению отраслью ИИ и поручил правительству совместно с регионами сформировать национальный план внедрения генеративного ИИ.

Тогда Владимир Путин подчеркнул, что зависимость от иностранных нейросетей недопустима, поскольку речь идёт о технологическом суверенитете страны. Новые поручения, судя по всему, становятся практическим шагом в этом направлении.

Анастасия Федорова, руководитель образовательных программ Positive Education, поделилась с Anti-Malware.ru своим комментарием:

«Поручение о запуске пилотного проекта по обучению ИИ и кибербезопасности —  сигнал о приоритете повышения безопасности в цифровой среде. Это поможет интегрировать ключевые компетенции в образование и сформировать культуру кибербезопасности на всех уровнях.

Внимание к вопросу кибербезопасности на самом высшем уровне говорит о том, что киберугрозы воспринимаются как серьезная проблема, решение которой — межотраслевая задача.

Аналитики Positive Technologies в 2026 году прогнозируют рост успешных атак на компании и частных лиц на 30–35% по сравнению с 2025 годом. Важно понимать, что сегодня личный и корпоративный кибербез неразделимы — часть атак на бизнес начинается с компрометации устройств или аккаунтов сотрудников в личном пространстве. Поэтому обучение должно фокусироваться на реальных повседневных сценариях, где ошибка одного человека может запустить цепную реакцию до уровня компании. В Positive Education мы активно развиваем именно такие корпоративные программы».

RSS: Новости на портале Anti-Malware.ru