2SDnjc1JCzF
Критическая уязвимость в WPvivid Backup позволяла загружать PHP-код на более чем 900 000 сайтов
Критическая уязвимость в популярном WordPress-плагине WPvivid Backup & Migration затронула более 900 000 сайтов. Проблема позволяет злоумышленнику без аутентификации загрузить на сервер произвольный PHP-код и добиться его выполнения.
Уязвимости присвоен идентификатор CVE-2026-1357. По шкале CVSS она получила 9,8 балла, что соответствует критическому уровню риска. Под угрозой оказались все прежние версии плагина. Исправление включено в релиз 0.9.124, опубликованный 28 января.
По данным исследователей Wordfence, проблема связана с некорректной обработкой ошибок при расшифровке сеансового ключа RSA и отсутствием проверки пути при сохранении загруженных файлов. В результате при неудачной попытке расшифровки плагин передавал в криптобиблиотеку phpseclib ложное значение ключа. Библиотека интерпретировала его как строку из нулевых байтов, что фактически приводило к использованию предсказуемого 0-байтового ключа.
Дополнительный риск создавало отсутствие проверки типа и расширения файлов в функции send_to_site(). Это позволяло выйти за пределы защищенного каталога резервных копий и загрузить на сервер произвольный PHP-файл с размещением в публично доступной директории. После этого вредоносный код мог выполняться при обращении через браузер.
Разработчики отмечают, что эксплуатация возможна при включенной функции импорта резервных копий с других сайтов с использованием сгенерированного ключа. По умолчанию эта опция отключена, а срок действия ключа ограничен 24 часами. Тем не менее, с учетом масштаба распространения плагина риск остается значительным.
Исследователь, обнаруживший уязвимость, получил вознаграждение в размере 2145 долларов в рамках программы Wordfence Bug Bounty. Пользователям WPvivid настоятельно рекомендуется немедленно обновить плагин до актуальной версии и проверить настройки импорта резервных копий.
похожие материалы
Максим Степченков и Ева Беляева обсудили зависимость от поставщиков ИБ в «Belyaev_Podcast»
Когда единая экосистема безопасности становится зависимостью, а замена продукта требует пересмотра бюджета и процессов?
ИБ-Пророки обсудили будущее информационной безопасности на форуме GISDAYS
2 октября в Москве в рамках IX Ежегодного форума по информационной безопасности и ИТ GISDAYS* 2026 состоялась дискуссия авторов проекта «ИБ-Пророк».
DDoS-атаки на российский бизнес подскочили на 61% - хакеры разгоняют мощность до 3 Тбит/с
Количество DDoS-атак на российские компании в III квартале 2026 года выросло на 61% по сравнению с тем же периодом прошлого года.
Последствия удара по дата-центру «Яндекса» под Рязанью: объект остановлен, облачные сервисы дали сбой
В ночь на 8 октября беспилотники атаковали дата-центр «Яндекса» в Сасово Рязанской области.
Российским разработчикам игр дадут 5 млрд рублей и начнут готовить их к IPO
В России запускают венчурный фонд Indie GO Fund II объемом 5 млрд рублей для поддержки разработчиков видеоигр, которые планируют масштабироваться за пределами российского рынка и в перспективе выйти на биржу.
Департамент здравоохранения Томской области перевёл медицинские системы на VMmanager
В Департаменте здравоохранения Томской области завершилась модернизация ИТ-инфраструктуры на базе платформы виртуализации VMmanager от компании ISPsystem (входит в «Группу Астра»).
В 3 квартале 2026 года с DDoS-атаками столкнулись ритейлеры, логисты и телеком
В 3 квартале 2026 года хакеры значительно усилили DDoS-атаки на российские компании, стремясь получить коммерческую выгоду.
ИнфоТеКС и «Флант» подтвердили совместимость продуктов
Компании «ИнфоТеКС» и «Флант» подтвердили совместимость и корректную совместную работу программного обеспечения Deckhouse Stronghold 1.
RuBackup Catalog Granular Recovery от «Группы Астра»: точечное восстановление объектов каталога ALD Pro без остановки сервисов
Оно обеспечивает резервное копирование и гранулярное восстановление объектов LDAP-каталога и их атрибутов в онлайн-режиме — без остановки LDAP-службы и связанных с ней сервисов.
Впервые в России документ подписали через низкоорбитальную спутниковую связь
Российская аэрокосмическая компания БЮРО 1440 и УК «ЭЛЬГА» на форуме «Цифровые решения» заключили соглашение о тестировании сервиса на базе низкоорбитальной спутниковой группировки.