My Calendar ниже 3.8.8 лучше не оставлять до планового окна: гость с публичной страницы календаря подменяет учётку первого администратора и заходит в wp-admin обычным входом. Wordfence ставит 9.8, патч 3.8.8 уже в каталоге.
15 и 16 октября рядом Mang Board и User Rights Access Manager. Первым смотрите slug my-calendar: в каталоге около 20 тысяч активных установок, страница /my-calendar/ создаётся при активации.
- My Calendar, slug
my-calendar, CVE-2026-104798. Уязвимы ветки по 3.4.24, 3.5.21, 3.6.17, 3.7.17 и 3.8.7. Без логина подменяется первый администратор. Закрывают 3.4.25, 3.5.22, 3.6.18, 3.7.18 и 3.8.8. - Mang Board, slug
mangboard, CVE-2026-109219. По 2.4.4: без логина загрузка файла, который может исполниться. Гостевые записи на доске включены по умолчанию. В каталоге сборка 2.4.5, установок около 8 тысяч. - User Rights Access Manager, slug
user-rights-access-manager, CVE-2026-109145. По 1.1.3 регистрация без логина получает роль, скопированную с администратора. Исправления нет. Каталог закрыл плагин 7 марта 2024, скачать его оттуда нельзя.
My Calendar, slug my-calendar
Страница календаря открыта сразу после включения плагина, отдельный логин для неё не нужен. По описанию Wordfence подменяется не свежая учётка сбоку, а администратор, которого создали при установке сайта. С этой учётки уже обычная админка, календарь при этом может выглядеть как раньше.
В changelog закрывающих сборок одна пометка: фикс эскалации без логина. Текущая версия в каталоге 3.8.8. Если старую ветку держите нарочно, берите фикс своей линии, а не ждите общего релиза. Версию ниже фикса обновляйте сегодня, не в понедельник.
Перед командами на проде снимите копию файлов и базы. Из каталога обновляются my-calendar и mangboard. user-rights-access-manager в update не ставьте: закрытый плагин каталог не отдаёт, активный slug выключают.
wp plugin list --fields=name,status,version | grep -Ei 'my-calendar|mangboard|user-rights-access-manager' wp plugin get my-calendar --field=version wp plugin update my-calendar mangboard wp plugin deactivate user-rights-access-manager
get и deactivate имеют смысл, только если соответствующий slug уже стоит. Если ни my-calendar, ни mangboard, ни user-rights-access-manager в списке нет, эти дыры сайта не касаются.
