Ядро WordPress: выполнение кода без входа (CVE-2026-63030)
Свой сайт на WordPress 6.9.x или 7.0.x мог выполнить код из-за путаницы маршрута REST API. Обновите ядро до 6.9.5, 7.0.2 или новее. Ветка 6.8 получает ту же правку SQL в 6.8.6, но без этого сценария.
Коротко о главном
- Чем опасно
- Посторонний без учётной записи мог заставить сайт выполнить код
- С чего начать защиту
- Обновите ядро: ветку 6.9 до 6.9.5, ветку 7.0 до 7.0.2 или новее.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
- Продукт
- WordPress
- Оценка риска
- CVSS 9.8 / 10
Как проверить и что учитывать
Нужна ручная проверка
Снаружи версию ядра WordPress часто не видно: её прячет тема или хостинг. FindRisk не подтверждает CVE-2026-63030 по главной странице. Версию смотрит администратор в консоли. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что нужно для подтверждения
Факт уязвимости следует из версии ядра, а не из внешнего ответа сайта.
Ограничения вывода
- WordPress.com и сайт, где ядро обновляет хостинг, нужно сверять по панели хостинга, а не по исходному коду.
- Запись CISA KEV не заменяет номер версии в консоли.
Что произошло
В ядре WordPress пакетный запрос к REST API мог попасть не на тот маршрут. Вместе с ошибкой в параметре author__not_in это позволяло выполнить код без входа.
Речь о ядре, а не о плагине форм. Исправление выпускает сам WordPress: 6.9.5, 7.0.2 и 6.8.6.
Кого это касается
Сценарий выполнения кода затрагивает свои сайты на 6.9.x ниже 6.9.5 и 7.0.x ниже 7.0.2. Ветка 6.8 и новее имеет ошибку SQL, но WordPress отдельно пишет, что выполнение кода начинается с 6.9.
Запись есть в каталоге CISA KEV. Бюллетень WordPress от 17 июля 2026 года относит дефект к CWE-436, конфликту толкования маршрута.
| Ветка | Что закрыто | Исправление |
|---|---|---|
| 6.9 | Выполнение кода через REST API | 6.9.5 |
| 7.0 | Выполнение кода через REST API | 7.0.2 |
| 6.8 | Ошибка SQL без этого сценария | 6.8.6 |
Как проверить установленную версию
Откройте консоль: «Обновления» или «Консоль». Номер ядра стоит внизу страницы. Не ориентируйтесь на версию темы и плагинов.
wp core versionКак снизить риск
Поставьте исправление своей ветки и пересмотрите администраторов. Закрывать REST API целиком не нужно, если его используют формы и редактор: это не замена обновлению.
Бесплатная внешняя проверка домена смотрит публичные признаки сайта. Она не подтверждает, что ядро уже обновлено.
Что может произойти
- Посторонний без учётной записи мог заставить сайт выполнить код
- Под угрозой страницы, заказы и пользователи этого сайта
- Плагин защиты не заменяет обновление ядра
Как защититься
- 1Обновите ядро: ветку 6.9 до 6.9.5, ветку 7.0 до 7.0.2 или новее.
- 2Ветку 6.8 обновите до 6.8.6: там закрыта ошибка SQL в author__not_in, но сценарий выполнения кода через REST API относится к 6.9 и 7.0.
- 3Если сайт уже был открыт в интернет на уязвимой сборке, смените пароли администраторов и ключи в wp-config.php.
Как проходит проверка
Снаружи версию ядра WordPress часто не видно: её прячет тема или хостинг. FindRisk не подтверждает CVE-2026-63030 по главной странице. Версию смотрит администратор в консоли. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Запишите версию ядра до обновления.
- Проверьте, не появилось ли новых администраторов и неизвестных плагинов.
- Обновите и вторую копию сайта, если она обслуживает тот же домен.
Частые вопросы
Что означает риск «WordPress: выполнение кода без входа»?
Свой сайт на WordPress 6.9.x или 7.0.x мог выполнить код из-за путаницы маршрута REST API. Обновите ядро до 6.9.5, 7.0.2 или новее. Ветка 6.8 получает ту же правку SQL в 6.8.6, но без этого сценария.
Можно ли подтвердить проблему только внешней проверкой?
Снаружи версию ядра WordPress часто не видно: её прячет тема или хостинг. FindRisk не подтверждает CVE-2026-63030 по главной странице. Версию смотрит администратор в консоли. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Обновите ядро: ветку 6.9 до 6.9.5, ветку 7.0 до 7.0.2 или новее.