Критична вразливість WordPress CVE-2026-119977: перевірте версію й оновіться до 7.1.4

Коротко: у ядрі WordPress від 4.7 до 7.1.3 знайшли вразливість, через яку під час оновлення сайту сторонній може виконати свій код на сервері без пароля. 3 листопада 2026 її внесли до каталогу активно експлуатованих вразливостей CISA. Оновіться до 7.1.4 (або виправленої версії своєї гілки) і переконайтеся, що версія справді змінилася.

Що сталося

28 жовтня 2026 вийшов WordPress 7.1.4 з 22 виправленнями безпеки. Найнебезпечніше з них отримало номер CVE-2026-119977.

Під час повного оновлення ядра WordPress тимчасово розпаковує файли в каталог, шлях до якого можна передбачити і який доступний з вебу. Якщо зловмисник встигне звернутися до такого файлу в цей короткий проміжок, він виконає код на сервері. Авторизація для цього не потрібна. Це помилка типу TOCTOU (race condition, CWE-367).

Оцінка: CVSS 8.1, висока (дані Wordfence в NVD).
Активно експлуатується: CISA додала її до каталогу KEV 3 листопада 2026.
Атака можлива саме в момент оновлення, тому найбільше ризикують сайти, які ще не оновилися і роблять це саме зараз або найближчим часом.

Які версії вразливі

Усі версії від 4.7 до 7.1.3 включно.

Виправлені версії:

Гілка	Безпечна версія
7.1	7.1.4 (рекомендована)
7.0	7.0.8
6.9	6.9.11
6.8	6.8.12
6.7	6.7.11
6.6 … 4.7	відповідний патч у своїй гілці, наприклад 6.4.14, 5.9.20, 4.7.39

WordPress 4.6 і старіші виправлень не отримають. Такий сайт треба оновлювати до актуальної версії або вимикати.

Що зробити власнику сайту

Перевірте версію. В адмінці відкрийте «Консоль → Оновлення». Не покладайтеся лише на автооновлення: воно буває вимкнене плагіном, конфігом або ламається через права на файли.
Зробіть резервну копію файлів і бази перед оновленням.
Оновіть WordPress до 7.1.4 або виправленої версії вашої гілки і перевірте номер версії ще раз.
Оновіть плагіни й теми. У 7.1.4 також закрито XSS-вразливості в блоках і Interactivity API.
Сайт веде підрядник? Перешліть йому цю статтю і попросіть підтвердити версію.

Для власників VPS і виділених серверів

Додатковий захист, поки ви оновлюєте всі сайти: заборонити веб-доступ до службового каталогу оновлень wp-content/upgrade/. WordPress працює з ним через PHP, браузеру він не потрібен.

nginx:

location ^~ /wp-content/upgrade/ { deny all; }

Apache або LiteSpeed (.htaccess у корені сайту):

RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]

Це не замінює оновлення, а лише звужує вікно для атаки. Також перевірте wp-content/upgrade/ на сторонні .php-файли і, якщо знайдете, вважайте сайт скомпрометованим: змініть паролі адміністраторів і ключі в wp-config.php, перевірте сайт на шкідливий код.

Як ми допомагаємо клієнтам

Якщо ваш сайт розміщений у нас і ви не впевнені, яка у вас версія WordPress або як безпечно оновитися, напишіть у підтримку. Перевіримо й допоможемо. Моніторинг і аварійна підтримка працюють 24/7, у робочий час зазвичай відповідаємо за 15 хвилин.

Хостинг, де за безпекою стежать інженери
Щотижневі бекапи в кожному тарифі, ізоляція CloudLinux і захист від DDoS та WAF. Безкоштовно перенесемо ваш сайт.
Обрати тариф →