11 сентября 2026 года Wordfence опубликовала сведения об уязвимости The Events Calendar. Владельцам сайтов с версиями до 6.17.4 включительно нужно установить 6.17.4.1 или более новый исправленный выпуск. Через комментарии к событиям посторонний посетитель может добиться выполнения кода на сервере без учётной записи.
Уязвимость CVE-2026-78006 получила у Wordfence оценку 9,8. Для атаки должны быть включены комментарии к событиям и их отображение на странице события. Это важное условие: опасный путь связан не просто с наличием календаря, а с обработкой содержимого комментария шаблоном события.
Почему премодерация не спасает
Плагин обрабатывает блоки в HTML комментариев. В уязвимой версии эту обработку можно использовать для передачи специально подготовленных данных в небезопасную десериализацию PHP. Последствия могут включать полный захват сайта, изменение файлов и кражу данных.
Одобрение модератора не требуется. WordPress позволяет автору увидеть собственный ожидающий проверки комментарий через ссылку предварительного просмотра. Этого достаточно, чтобы содержимое попало в уязвимый участок обработки. Поэтому настройка «сначала одобрить комментарий» не заменяет обновление плагина.
В том же календаре описана отдельная цепочка CVE-2026-78159, затрагивающая версии до 6.17.3 включительно. Для обеих проблем Wordfence рекомендует перейти на 6.17.4.1 или более новый исправленный выпуск. Останавливаться на промежуточной версии после частичного обновления не стоит.
Что сделать администратору
Проверьте установленную версию плагина со slug the-events-calendar. Сделайте резервную копию и установите доступный исправленный выпуск. Затем откройте страницу события и проверьте календарь, форму комментариев и журнал ошибок.
Если обновление приходится отложить, временное отключение комментариев к событиям уменьшает доступность описанного пути атаки, но не исправляет код плагина. При признаках взлома одного обновления недостаточно: нужно отдельно проверить файлы, учётные записи и изменения на сайте.
Главное здесь не ждать ручного одобрения подозрительного комментария. Уязвимая обработка может сработать раньше, поэтому основное действие для затронутого сайта состоит в установке исправленной версии.
Обслуживание сайта включает не только плагины: отдельно разобрал обновление безопасности PHP в Ubuntu.
