Публикувана на 20.07.2026 от Христо Петров
Последна промяна на 22.07.2026
„Позволява изпълнението на код от разстояние“ са сред най-страшните думи, които собственикът на уебсайт или информационна система може да чуе.
Е, преди няколко дни ги чуха собствениците на хиляди сайтове в България, които разчитат на популярната платформа WordPress. В нея беше открита опасна уязвимост (всъщност експлоатирането й е комбинация от две уязвимости), която позволява на злонамерено лице без достъп до сайта да изпълни код от разстояние и потенциално да стане негов администратор.
Обикновено подобни превземания на сайтове стават чрез уязивми плъгини. Тук проблемът е в самата WordPress.
Последното означава, че засяга дори съвсем чисти, току-що инсталирани WordPress сайтове: стига да работят на някоя от уязвимите версии на платформата.
Веригата от уязвимости, описана в тази статия, стана известна като wp2shell.
Уязвим ли е вашият WordPress сайт?
WordPress е инсталиран на около 47778 български уебсайта, показват данните на BuiltWith. Платформата е изключително популярна: тя се използва както за поддържането на сайтове на държавни институции, така и на много частни организации от различни сектори в икономиката: онлайн търговия, банки, мобилни оператори, телевизии и други.
Разбира се, не всяка WordPress инсталация е уязвима. Конкретната уязвимост (с идентификатор CVE-2026-63030, експлоатирането става в комбинация с друга уязвимост – CVE-2026-60137) се проявява само в определени версии на WordPress: от 6.9.0 до 6.9.4 и от 7.0.0 до 7.0.1.
Ако сайтът ви използва някоя от тези версии на WordPress, той би могъл да е уязвим.
Каа да разберете дали сайтът ви е уязвим?
Най-лесният начин да проверите дали сайтът ви е уязвима на wp2shell е с този скенер.
Въведете адреса на сайта си, натиснете бутона Scan и изчакайте резултат.
Как да се предпазите
wp2shell e отстранена във версии 6.9.5 и 7.0.2 (и по-нови) на WordPress, така че ако инсталацията ви е уязвима, достатъчно е да я обновите до обезопасена версия.
Ако в момента не можете да обновите до безопасна версия, от Searchlight Cyber, които са открили wp2shell, предлагат следните алтернативни решения:
- инсталирайте плъгина Disable WP REST API. Той ограничава достъпа на неоторизирани потребители до API-то на WordPress.
- използвайте защитна стена, за да блокирате достъпа до /wp-json/batch/v1 и rest_route=/batch/v1
Искате да научавате новините на момента?
|| >>> Следвайте Questona във Facebook || >>> Следвайте Questona в LinkedIn ||
Подобни статии
