Уязвимость в плагине WordPress поставила под угрозу более 5 млн сайтов

Уязвимость в плагине WordPress поставила под угрозу более 5 млн сайтов

Уязвимость в плагине WordPress поставила под угрозу более 5 млн сайтов

В плагине All-in-One WP Migration and Backup обнаружили возможность SQL-инъекции, которая может привести к удалённому выполнению кода и полному захвату сайта. Под угрозой оказались все версии до 7.109 включительно. Уязвимость CVE-2026-19949 получила 8,8 балла из 10 по шкале CVSS.

Плагин установлен более чем на 5 млн сайтов и используется для резервного копирования, переноса и восстановления WordPress вместе с базой данных, темами, файлами и расширениями.

Атака работает не мгновенно. Злоумышленник без аутентификации отправляет специально подготовленные данные через механизм trackback WordPress. Они сохраняются в базе и спокойно ждут своего часа.

Полезная нагрузка срабатывает, когда администратор экспортирует, а затем импортирует сайт. Во время восстановления плагин неправильно обрабатывает обратные слеши и кавычки, превращая сохранённые данные в исполняемый SQL-запрос.


С его помощью атакующий может вытащить секретный ключ ai1wm_secret_key и опубликовать его в доступном комментарии. Затем ключ используется для импорта вредоносного архива .wpress с исполняемым кодом. Итог — удалённое выполнение команд и возможность полностью прибрать сайт к рукам.

Необходимость дождаться действий администратора немного снижает срочность угрозы. Но экспорт и восстановление — основное предназначение плагина, поэтому рассчитывать, что опасная кнопка никогда не будет нажата, довольно смело.

Исследователь Джек Тейлор сообщил об ошибке через Wordfence в середине августа. Разработчик ServMask выпустил исправленную версию 7.110 уже 20 августа. Wordfence рекомендует обновиться немедленно.

По имеющимся оценкам, патч установили лишь около 35% пользователей. Примерно 3,25 млн сайтов всё ещё остаются уязвимыми.

Власти пока не планируют превращать Госуслуги в TikTok

У российского правительства сейчас нет планов делать из Госуслуг аналог TikTok. Вице-премьер Дмитрий Григоренко назвал такую трансформацию портала чем-то за гранью, выступая на Восточном экономическом форуме. Правда, дверь он закрывать не стал.

По словам Григоренко, сегодня идея может казаться чрезмерной, а послезавтра стать нормой.

Государство, добавил вице-премьер, должно оставаться вариативным. Так что вертикальные ролики с оформлением налогового вычета пока отменяются. Заявление прозвучало на фоне куда более серьёзных планов по превращению Госуслуг из каталога государственных услуг в универсальную цифровую экосистему.

Ранее сообщалось, что до 2035 года на платформе могут появиться социальная сеть с локальными сообществами, агрегатор мероприятий и семейные чаты. В аппарате Григоренко объясняли, что обновлённый портал должен объединить граждан, бизнес и государственные органы в пространстве доверенного взаимодействия.

Глава Минцифры Максут Шадаев также говорил, что текущая задача Госуслуг — стать большой социальной медиаплатформой.

Получается любопытная конструкция: социальная сеть, сообщества, чаты и события — можно; TikTok — пока уже перебор. Где именно проходит граница между государственной экосистемой и полноценной соцсетью, чиновникам ещё предстоит определить.

RSS: Новости на портале Anti-Malware.ru