Если у вас WordPress 6.9.0–6.9.4 или 7.0.0–7.0.1, отложите чтение и проверьте версию. WordPress выпустил патчи 6.9.5, 7.0.2 и 6.8.6, а компании Patchstack, Hexastrike и WatchTowr уже видят реальные атаки.
Баг в ядре, а не в плагине: CVE-2026-63030 — путаница маршрутов в
/wp-json/batch/v1, которая работает вместе с CVE-2026-60137, SQL-инъекцией в параметре
author__not_in. На стоковой установке это даёт удалённое выполнение кода без авторизации.
WordPress.org включил принудительные автообновления, но я бы не доверял автоматике вслепую: запустите
wp core version, обновитесь вручную и проверьте логи на обращения к
/wp-json/batch/v1.
👉️ https://tproger.ru/news/wp2shell-hakery-atakuyut-kriticheskie-uyazvimosti-wordpress
#wordpress #security
🦄 WordPress Digest - Подписаться