Если на сайте плагин бэкапов Duplicator по 1.5.17 включительно или Duplicator Pro по 4.6.10, посторонний без учётки может оставить PHP-объект в комментарии. Сам он молчит, пока после этого не соберут пакет и не сделают обычный перенос или импорт: бесплатная ветка может выполнить команду на сервере, Pro может удалить выбранный файл, в том числе wp-config.php. Патч уже есть, это 5.0.0.
Сначала slug duplicator и duplicator-pro. Wordfence по CVE-2026-82814 ставит 8.8, Patchstack по бесплатной ветке 9.8. В каталоге сейчас 5.0.6. Issuu Panel, если slug ещё стоит, выключайте: обновления в каталоге нет.
- Duplicator, slug
duplicator, и Duplicator Pro, slugduplicator-pro, CVE-2026-82814. По 1.5.17 и Pro по 4.6.10. При переносе команда на сервере или удаление файла. Патч 5.0.0. Бесплатный из каталога, Pro из кабинета на duplicator.com. - Issuu Panel, slug
issuu-panel, CVE-2016-20101. Ниже 1.6.6 без входа подключается чужой файл и выполняется PHP. Каталог закрыл плагин 23 октября 2024. Отключите.
Как пишет Wordfence, комментарий на модерации тоже попадает в пакет. Обычный бэкап цепочку не запускает. Нужен перенос или импорт, где установщик поднимает сериализованные значения из базы. В бесплатной 1.5.17 установщик через старую библиотеку Requests 1.7 выполняет выбранную команду от пользователя веб-сервера. В Pro 4.6.10 объект при уничтожении удаляет файл, если каталог доступен PHP на запись. Снос wp-config.php открывает мастер установки: кто успеет первым и подставит свою базу, забирает сайт.
Само обновление старые пакеты не пересобирает. Пакет с 1.5.17 или Pro 4.6.10 хранит установщик той версии. Wordfence прогнал импорт такого пакета Pro из 5.0.5, и уязвимый путь открылся. Перед переносом соберите пакет заново на 5.0.0 или новее. Старые файлы установщика в открытом доступе уберите.
Перед обновлением на проде снимите копию файлов и базы, не пакетом уязвимой версии. Бесплатный duplicator обновляется из каталога. Pro в каталоге нет. issuu-panel, если строка есть, выключите.
wp plugin list --fields=name,status,version | grep -Ei 'duplicator|issuu-panel' wp plugin get duplicator --field=version wp plugin update duplicator wp plugin deactivate issuu-panel
Если ни duplicator, ни duplicator-pro, ни issuu-panel в списке нет, эти дыры сайта не касаются.
