WordPress пора обновлять немедленно: эксплойты wp2shell уже пошли в ход

WordPress пора обновлять немедленно: эксплойты wp2shell уже пошли в ход

WordPress пора обновлять немедленно: эксплойты wp2shell уже пошли в ход

Администраторам сайтов на WordPress пора бросить всё и проверить обновления. Для критической цепочки уязвимостей wp2shell появились публичные эксплойты, а специалисты watchTowr уже заметили первые попытки атак.

В состав wp2shell входят две ошибки в ядре WordPress — CVE-2026-63030 и CVE-2026-60137. В связке они позволяют анонимному злоумышленнику удалённо выполнить код на сервере.

Аутентификация, установленные плагины и какие-либо особые настройки ему не нужны: под ударом даже WordPress из коробки.

Первая уязвимость связана с обработкой пакетных маршрутов REST API и появилась в WordPress 6.9. Вторая представляет собой SQL-инъекцию в параметре author__not_in компонента WP_Query и затрагивает версии начиная с 6.8.

Полноценная цепочка удалённого выполнения кода работает против WordPress 6.9.0-6.9.4 и 7.0.0-7.0.1. Отдельная SQL-инъекция также присутствует в версиях 6.8.0-6.8.5, но превратить её в wp2shell там нельзя.

Проблемы исправлены в WordPress 6.9.5 и 7.0.2. Из-за серьёзности угрозы команда проекта даже принудительно включила автоматическую установку обновлений безопасности на поддерживаемых сайтах.

Несколько прототипов эксплойта уже опубликованы на GitHub. Одни извлекают хеши паролей, взламывают учётную запись администратора и загружают вредоносный плагин. Другие заявляют о выполнении кода вообще без получения административного доступа.

Cloudflare развернула правила WAF для обеих уязвимостей на всех тарифах, включая бесплатный. Но это бронежилет, а не бессмертие: защита лишь снижает риск и не заменяет обновление.

Если поставить патч немедленно невозможно, исследователи советуют временно запретить анонимный доступ к REST API либо заблокировать пакетный маршрут на уровне WAF. Но долго жить с таким пластырем не стоит — желающие проверить чужой WordPress на прочность уже вышли на охоту.

Подпишитесь на новости

Ростелеком призвал создавать ЦОДы судного дня

Сложить всё в несколько больших дата-центров было удобно и выгодно. Пока по ним не начали прилетать беспилотники. Теперь российским компаниям нужны резервные площадки для восстановления сервисов — ЦОДы судного дня.

Об этом на форуме РБК Tech заявил зампред правления «Ростелекома» Валерий Ермаков, сообщает РБК.

По словам Ермакова, прежнюю инфраструктуру строили прежде всего ради экономической эффективности: ключевые сервисы концентрировали на нескольких площадках. Но модель угроз изменилась. То, что недавно выглядело немыслимым сценарием, теперь приходится включать в планы восстановления.

Ответ — распределять сервисы между большим количеством площадок, разносить их географически и резервировать мощности. Ермаков называет такой подход микросотовой архитектурой.

Проще говоря, экономия на централизации уступает место вопросу: «А что останется работать, если эта площадка отключится?»

Однако разнести серверы мало — их ещё нужно связать быстрыми каналами. И здесь, по оценке топ-менеджера, назревает следующая проблема: российские магистральные сети перегружены, а значительная часть оптики проложена 20-30 лет назад.

Ермаков предупредил о возможном дефиците магистральных ресурсов и представил линию «Ростелекома» TEA NEXT от Калининграда до Монголии как источник дополнительных мощностей.

Напомним, после октябрьских атак остановились три ЦОДа «Яндекса» — в Сасове, Калуге и Владимире. Сбои затронули как сервисы компании, так и клиентов Yandex Cloud. Яндекс договорился с другими облачными провайдерами об ускоренном переносе клиентских данных и сервисов.

Название «ЦОД судного дня» звучит как маркетинг для апокалипсиса, но задача у него проще: чтобы после потери площадки бизнесу было откуда восстановиться.

RSS: Новости на портале Anti-Malware.ru