В WordPress устранили критическую RCE-уязвимость

В WordPress устранили критическую RCE-уязвимость

В WordPress устранили критическую RCE-уязвимость

Вышла новая версия движка WordPress под номером 6.4.2, устраняющая критическую уязвимость, которая в связке с другим багом может привести к выполнению произвольного PHP-кода на сайтах.

Разработчики объясняют в примечаниях к апдейту:

«Приводящая к удалённому выполнению кода брешь в ядре не эксплуатируется сама по себе. Однако в сочетании с отдельными плагинами есть риск успешной кибератаки на уязвимый веб-ресурс».

Как уточнили специалисты Wordfence, корень проблемы кроется в классе WP_HTML_Token, который появился в версии 6.4 для улучшения парсинга HTML в процессе редактирования блоков.

Если у злоумышленника будет возможность задействовать брешь инъекции PHP-объекта в любом установленном плагине или теме, а также связать эту брешь с RCE-уязвимостью в WordPress, он сможет получить полный контроль над целевым сайтом.

Эксперты Patchstack указали на доступность цепочки эксплойтов на GitHub, которую опубликовали 17 ноября. Владельцам и администраторам WordPress-сайтов рекомендуют проверить версии движка на актуальность.

«Если вы — разработчик и какой-либо из ваших проектов содержит вызовы функции десериализации, мы крайне рекомендуем заменить этот способ на что-нибудь аналогичное вроде PHP-функций json_encode и json_decode», — говорит Дейв Джонг, технический директор Patchstack.

Подпишитесь на новости

Обвиняемого по делу об атаке на Додо отправили под домашний арест

Тверской районный суд Москвы отправил Дениса Фридмана под домашний арест до 8 декабря 2026 года. Его обвиняют по делу, связанному с кибератакой на «Додо Пиццу». О решении сообщила пресс-служба московских судов, Фридман проходит по пунктам «а» и «в» части 3 статьи 272.1 УК РФ — о незаконном обороте компьютерной информации, содержащей персональные данные.

Согласно опубликованной информации, правоохранители задержали троих из четырёх подозреваемых в атаке, произошедшей в конце сентября.

Выйти на них, как утверждается в публикации, помогла ошибка Фридмана: при входе в похищенный массив данных он не скрыл свой реальный IP-адрес.

При этом домашний арест — мера пресечения, а не приговор. Виновность обвиняемого суду ещё предстоит установить.

Напомним, по данным «Додо Пицца», атаки происходили в течение двух дней, однако доступ злоумышленникам заблокировали достаточно быстро. Платёжные реквизиты якобы не пострадали: компания их не хранит.

О происшествии уведомили Роскомнадзор. В рамках защитных мер сервис также может принудительно завершать пользовательские сессии.

RSS: Новости на портале Anti-Malware.ru