Критическая уязвимость в популярном плагине резервного копирования для WordPress ставит под угрозу более трёх миллионов сайтов

Критическая уязвимость в популярном плагине резервного копирования для WordPress ставит под угрозу более трёх миллионов сайтов. Фото: СС0

Проблема, зарегистрированная как CVE-2026-19949 и получившая высокий уровень серьёзности, заключается в некорректной обработке экранированных обратных косых черт и кавычек при восстановлении архива, что даёт возможность злоумышленнику внедрить вредоносные данные через трекбэки WordPress, которые активируются в момент, когда администратор выполняет обычную операцию экспорта или импорта сайта.

Внедрённый SQL-код позволяет раскрыть секретный ключ импорта плагина через публичный комментарий, после чего злоумышленник может загрузить архив с исполняемым кодом и получить полный контроль над целевым ресурсом.

Разработчик плагина, компания ServMask, получила уведомление 15 августа и выпустила исправление в версии 7.110 уже 20 августа, однако, по данным статистики, лишь около тридцати пяти процентов пользователей обновились до защищённой версии, в то время как более трёх с четвертью миллионов сайтов по-прежнему используют уязвимую версию плагина и остаются под угрозой захвата.

Исследователи отмечают, что хотя эксплойт срабатывает только при действии администратора по восстановлению резервной копии, это действие является стандартной процедурой для данного плагина, что делает атаку вполне реалистичной, а деактивированная уязвимая версия также представляет риск, поскольку может быть временно активирована.

Всем владельцам сайтов на WordPress настоятельно рекомендуется немедленно обновить плагин All-in-One WP Migration and Backup до версии 7.110 или выше, чтобы закрыть эту опасную брешь.