Slug backupsheep на проде и версия не выше 1.8: гость без логина забирает полный бэкап сайта, в нём база с хешами паролей, и может удалять файлы. Исправления нет. В записи WPScan оценка 10.0. Каталог закрыл плагин 9 июля 2024, скачать его уже нельзя.
1 октября 2026 рядом ещё две дыры без входа. Сразу гляньте super-forms и ultimate-multisite. Если этих slug, как и backupsheep, в списке плагинов нет, заметка не про ваш сайт.
- BackupSheep, slug backupsheep, CVE-2026-101148. Версии по 1.8. Бэкап и удаление файлов без логина. Патча нет, каталог закрыт.
- Super Forms, slug super-forms, CVE-2026-15989. Версии по 6.3.316. Если форма регистрации опубликована, новый пользователь сразу администратор. Wordfence закрывает в 6.3.317, на GitHub автора LTS уже 6.3.320. В wordpress.org этого slug нет, бета 6.4 не нужна.
- Ultimate Multisite, slug ultimate-multisite, CVE-2026-75957. Версии по 2.15.0, в каталоге 80 активных установок. По email гость входит в чужую учётку, вплоть до суперадмина сети, если у неё нет записи клиента в плагине. Патч 2.15.1, в каталоге сейчас 2.16.1.
Пустой или незаданный ключ интеграции BackupSheep считает нормальным. Поэтому архив уходит наружу без учётки, и тем же пустым ключом можно стереть файл на сервере. API каталога на этот slug отвечает 404, wp plugin update ничего не поставит. Выключайте и снимайте с проды сегодня, не в понедельник.
Перед обновлением ultimate-multisite снимите бэкап базы и wp-content. BackupSheep для этого бэкапа не берите: команда ниже ставит только плагин из каталога.
wp plugin list --fields=name,status,version | grep -Ei 'backupsheep|super-forms|ultimate-multisite' wp plugin get ultimate-multisite --field=version wp plugin update ultimate-multisite
