WordPress 7.1.4 закрывает 22 уязвимости, включая риск при обновлении ядра

WordPress выпустил обновление безопасности 7.1.4, предназначенное для исправления 22 уязвимостей. Как пишет Search Engine Journal 29 октября 2026 года, среди них — недостаток в процессе обновления ядра, который при определённых условиях мог привести к удалённому выполнению кода, и несколько случаев stored XSS. Владельцам сайтов стоит проверить, установлено ли исправление.

Что исправлено в WordPress 7.1.4

Самая серьёзная из описанных проблем касается процедуры обновления WordPress. Исследователь Umut Bayram обнаружил в ней состояние гонки: при определённых обстоятельствах оно могло позволить выполнить код на сервере удалённо. В зависимости от полученного доступа последствия такого сценария могут варьироваться вплоть до полного захвата сайта.

Здесь важно не перепутать сам риск с выводом о каждом отдельном сайте. Уязвимость связана с процессом обновления ядра, но в публикации нет сведений, что она могла быть использована при любом обновлении или в любой конфигурации. Тем не менее исправление этой процедуры — существенная часть выпуска: обычно обновление воспринимают только как способ устранить проблемы, а здесь внимание потребовалось самому механизму перехода на новую версию.

Другие исправления относятся к функциям редактирования и взаимодействия с сайтом. В числе затронутых частей названы Interactivity API, блоки, Customizer и административные интерфейсы. Среди проблем есть stored XSS: при таком сценарии вредоносный код сохраняется в данных сайта и может выполниться позже, когда кто-то откроет соответствующую страницу. Упомянуты и случаи несанкционированного раскрытия информации.

Для многих из этих сценариев необходим доступ уровня Contributor или выше. Это снижает вероятность использования таких уязвимостей по сравнению с атакой, для которой не нужен доступ к сайту. Но наличие требования к правам не означает, что исправление можно пропустить: оно лишь помогает точнее оценивать, кто потенциально мог воспользоваться конкретной проблемой.

Что известно об условиях и затронутых версиях

Условия использования состояния гонки остаются неясными. В материале не сказано, какие особенности сервера или какой уровень доступа потребовались бы атакующему; неизвестно и то, нужна ли авторизация. Поэтому было бы неверно утверждать, что найден готовый способ взлома любого сайта извне. Подтверждённый вывод уже: в обновлении ядра обнаружили риск удалённого выполнения кода, а выпуск 7.1.4 предназначен в том числе для его устранения.

Некоторые исправленные уязвимости затрагивают версии WordPress начиная с 4.7. При этом число применимых уязвимостей зависит от версии. Указанные в новости 22 проблемы относятся ко всему выпуску безопасности, а не обязательно к каждому сайту, на котором работает WordPress. Из одной общей цифры нельзя вывести точное количество проблем для конкретной установки.

Это полезная оговорка для тех, кто следит сразу за несколькими сайтами. Не стоит считать, что одинаковое название системы автоматически означает одинаковый набор затронувших её уязвимостей. Начать лучше с текущей версии WordPress на каждом сайте, а уже затем выяснять, применено ли обновление безопасности. Ранее в блоге разбирали и обновление WordPress 7.1.3: нынешний выпуск следует рассматривать отдельно, по его собственным исправлениям.

Что проверить владельцу сайта и команде

Первый практический вопрос — установлена ли WordPress 7.1.4. Если нет, обновление стоит поставить в приоритет и связаться с человеком, который отвечает за техническое сопровождение сайта. Отсутствие новых публикаций не помогает понять, исправлено ли ядро: даже редко обновляемый контентный проект нужно проверить отдельно.

После установки имеет смысл пройти основные рабочие действия: открываются ли страницы, можно ли пользоваться редактором, доступны ли нужные функции в административной части. Такая проверка не заменяет исправление и не доказывает, что на сайте больше нет уязвимостей. Её задача проще — вовремя заметить неполадки, которые мешают команде работать после обновления.

Поскольку часть описанных сценариев связана с доступом уровня Contributor или выше, полезно также понимать, кто в команде работает с сайтом под такими правами. Для маркетолога это не отвлечённая техническая деталь: блоки, редактор и административные интерфейсы участвуют в подготовке материалов. Проверку этих действий лучше согласовать с теми, кто действительно ими пользуется.

Моё мнение: ответственность важнее тревожной цифры

Я бы не превращал число 22 в оценку опасности любого отдельного сайта: применимость исправлений зависит от версии, а условия самого тревожного сценария пока не раскрыты. В работе с магазином мне ближе конкретный вопрос: кто отвечает за техническую часть, а кто замечает, что привычный процесс работы с карточками товаров изменился. Эти роли не всегда совпадают, и это нормально, если ответственность между людьми понятна.

По моему опыту, карточки товаров быстро показывают цену разрыва между техническими решениями и повседневной работой. Когда один человек занимается сайтом, а другой наполняет каталог, им нужен понятный способ передавать друг другу замечания. Для небольшого бизнеса это важнее попытки самостоятельно оценить каждую уязвимость по одной цифре в заголовке.

Источники

Откуда новость. Текст — пересказ своими словами, факты — из источника, мнение — автора.

1. WordPress Announces Another Security Release: Version 7.1.4 via @sejournal, @martinibuster www.searchenginejournal.com

Об авторе

Таави Аас

владелец магазина велосипедных запчастей

Развиваю интернет-магазин и помогаю небольшим производителям размещать товары онлайн. За последние годы понял, что каталог без нормальных фильтров быстро превращается в склад вопросов.

Все публикации автора