Новое исследование в Сингапуре показало, что четыре из пяти сайтов, управляемых местными компаниями, имеют как минимум одну обнаружимую уязвимость WordPress. Исследование кибербезопасности сайтов WordPress в Сингапуре, выпущенное академией Equinet 31 августа 2026 года в партнерстве с Cutlazz Cyber Consulting, изучило 102 общедоступных сайта WordPress, управляемых компаниями, базирующимися в Сингапуре.
Используя пассивное автоматизированное сканирование с апреля по август 2026 года, исследователи обнаружили, что 80,4% сайтов имели как минимум одну идентифицируемую уязвимость, и 33,3% попали в категории высокого или критического риска. Семь сайтов были оценены как критический риск.
В выборке было подтверждено 1,853 уязвимости, которые были сопоставлены с задокументированными CVE, а средний балл риска составил 42,1 из 100 — что помещает группу на верхний уровень «Повышенного риска».
Устаревшее программное обеспечение приводит к уязвимостям WordPress
Стареющее программное обеспечение стало повторяющейся темой. Из 102 сайтов 41 (40,2%) использовали устаревшие версии ядра WordPress, некоторые из которых датируются 2015 годом. Примечательно, что каждый сайт, отмеченный как критический риск, также использовал устаревшее ядро.
Плагины добавили дополнительную уязвимость: 70,6% сайтов имели как минимум один плагин с подтвержденным CVE, а 65,7% имели как минимум один устаревший плагин, всего было зафиксировано 199 устаревших установок плагинов.
Другие результаты включали:
56,9% имели XML-RPC, открытый для публичного доступа
54,9% имели wp-cron, доступный для общего пользования
29,4% раскрыли свой путь входа через robots.txt
Большинство недостатков возникает из-за рутинного обслуживания, а не сложных атак
Исследование пришло к выводу, что многие из этих уязвимостей в настройках CMS не являются результатом продвинутых хакерских техник, а следствием запущенного обслуживания и неизмененных стандартных конфигураций.
Дилан Сан, основатель и управляющий директор академии Equinet, сказал, что результаты показывают, что безопасность WordPress часто сводится к основам, а не к сложным защитным механизмам. Он отметил, что непатчированное программное обеспечение и непроверенные конфигурации накапливают риск со временем, и что регулярное обновление систем и проверка открытости для публики — это практические способы, с помощью которых компании могут снизить избегаемый риск.
Методология и ограничения
Исследователи использовали автоматизированный сканер WPSec для оценки общедоступных данных — версий WordPress, инвентаризаций плагинов, совпадений CVE, конфигураций заголовков и открытых конечных точек — без попыток аутентифицированного доступа, брутфорс-атаки или эксплуатации любых обнаруженных уязвимостей.
Результаты отражают моментальный снимок видимых индикаторов, а не полный аудит, и обнаруженная уязвимость не обязательно означает, что сайт был взломан. Тем не менее, исследование указывает на то, что та же информация также доступна потенциальным злоумышленникам, проводящим рутинные сканирования.
Соответствие и бизнес-импликации
Для сайтов, которые собирают личные данные, нерешенные уязвимости в программном обеспечении CMS могут также нести риск несоответствия в соответствии с Законом о защите личных данных Сингапура (PDPA), который требует разумных мер безопасности.
Отчет рекомендует компаниям внедрить HTTPS на своих сайтах, поддерживать актуальность ядра WordPress и плагинов, отключать неиспользуемую функциональность XML-RPC, проверять видимость пути входа, ограничивать доступ к таким файлам, как readme.html и wp-cron.php, и проводить проверки безопасности как минимум раз в квартал.
Исследование в Сингапуре проанализировало сайты, выбранные по зарегистрированным доменам Сингапура или IP-адресам, размещенным в Сингапуре, с акцентом на малые и средние предприятия, исключая многонациональные дочерние компании.