Злоумышленники активно используют критическую уязвимость path traversal в WordPress, что позволяет захватывать веб-сайты, сообщает Национальный центр кибербезопасности (NCSC). Доступно обновление для устранения проблемы (CVE-2026-87902), и NCSC призывает администраторов установить его немедленно. Через уязвимость неавторизованный злоумышленник может выполнять произвольный код на веб-сервере сайта WordPress.
Уязвимость позволяет неавторизованному злоумышленнику загружать локальный PHP-файл за пределами активных папок тем WordPress. "При определенных условиях, касающихся активной темы и конфигурации сервера, уязвимость может привести к выполнению произвольного кода на сервере. Это может позволить злоумышленнику получить доступ к конфиденциальным данным, внести изменения или получить дальнейший контроль над затронутой установкой WordPress", объясняет NCSC.
"Это может привести к таким проблемам, как утечки данных или использование веб-сайта в злонамеренных целях. В настоящее время уже произошли атаки, в которых эта уязвимость активно используется", предупреждает государственный орган. Уязвимость была устранена в версии WordPress 7.1.2. Согласно данным W3Techs, более сорока процентов всех веб-сайтов в интернете работают на WordPress.