Конструктор форм Gravity Forms версии 3.1.2 и старше обновляйте сегодня, если на форме есть пользовательское поле записи типа «список» и у него включён шаблон содержимого. Без пароля в мета записи можно записать PHP-объект. Это CVE-2026-103039: Wordfence ставит 9.8 и закрывает дыру версией 3.1.3. Плагина в каталоге wordpress.org нет, сборка берётся из кабинета вендора.
29 и 30 октября смотрите ещё геопоиск GEO my WP до 4.5.5.3: без входа, PHP-объект, у Patchstack тоже 9.8. И импорт пользователей до 2.7.5, около 50 тысяч установок: подписчик через «О себе» при повторном импорте CSV заводит администратора. Wordfence оценивает это в 8.8.
- Gravity Forms, slug gravityforms. По 3.1.2 включительно. Патч 3.1.3, в каталоге нет.
- GEO my WP, slug geo-my-wp. По 4.5.5.3 включительно. Patchstack указывает патч 4.5.5.4. В changelog CVE-2026-61992 закрыт в 4.5.5.5, в каталоге уже 4.5.5.7.
- Export and Import Users and Customers, slug users-customers-import-export-for-wp-woocommerce. По 2.7.5 включительно. Патч 2.7.6, в каталоге 2.7.7.
Сама форма без такого поля эту дыру не открывает. Значение списка при включённом шаблоне уходит в maybe_unserialize() ядра WordPress как есть. С версии 3.1.1 у Gravity Forms есть свой разбор, который объекты не создаёт, но ветка создания записи его обходит.
Цепочки для запуска кода в самом плагине нет. Она сработает, если её принесёт тема или другой плагин. Свой путь есть у ядра, когда поле пишется в _wp_page_template, на хосте читается PEAR и включён register_argc_argv. Wordfence закрывает дыру с 3.1.3, в changelog свежая линейка уже 3.2.1. Ставьте 3.1.3 или новее из кабинета: wp plugin update этот плагин не привезёт.
Перед обновлением на проде снимите бэкап файлов и базы.
wp plugin list --fields=name,status,version | grep -Ei 'gravityforms|geo-my-wp|users-customers-import-export-for-wp-woocommerce' wp plugin get geo-my-wp --field=version wp plugin get users-customers-import-export-for-wp-woocommerce --field=version wp plugin update geo-my-wp wp plugin update users-customers-import-export-for-wp-woocommerce
Если ни gravityforms, ни geo-my-wp, ни users-customers-import-export-for-wp-woocommerce в списке плагинов нет, эти дыры сайта не касаются.
