Если на сайте стоит GEO my WP по 4.5.5.3 включительно, гость через AJAX info-window может подключить произвольный PHP-файл. На части серверов это уже выполнение кода. Патч в каталоге: 4.5.5.4. Wordfence ставит 7.5.
13 сентября 2026 в пачке пять high. Первым смотреть slug geo-my-wp. Рядом buddypress-media: SQL без логина, патч 4.7.12. Затем zonify (токен аккаунта без логина, 1.0.5), really-simple-ssl (сброс email-2FA, 9.8.1) и user-registration (из subscriber в роль плана, 5.2.8). Это не утренний дайджест с Tutor LMS. Если slug в списке нет, эта дыра вас не касается.
Что закрывать сегодня
- GEO my WP, slug
geo-my-wp, CVE-2026-85200. LFI без логина через AJAX info-window, на части серверов RCE. По 4.5.5.3. Патч 4.5.5.4, в каталоге уже есть. - rtMedia, slug
buddypress-media, CVE-2026-16482. SQL без логина на странице с шорткодом галереи. По 4.7.11. Патч 4.7.12, в каталоге 4.7.13. - Zonify, slug
zonify, CVE-2026-87842. Гость забирает токен привязанного аккаунта. Ниже 1.0.5. Патч 1.0.5. - Really Simple Security, slug
really-simple-ssl, CVE-2026-89080. Без логина сбрасывает завершённую email-2FA; нужен уже известный пароль, дальше сессия до администратора. С 9.5.10.1 и ниже 9.8.1. Патч 9.8.1. - User Registration & Membership, slug
user-registration, CVE-2026-86406. Subscriber получает роль платного плана без оплаты; если план смаплен на privileged, до администратора. С 4.4.6 и ниже 5.2.8. Патч 5.2.8.
GEO my WP: LFI без логина
Slug из каталога. На 13 сентября 2026 wordpress.org отдаёт 4.5.5.4 (10 сентября, 19:48 GMT). Wordfence: CVSS 7.5. Patchstack ставит ту же цифру и тот же патч.
Судя по опубликованным данным, обработчик info-window грузит шаблон с улицы. Дальше include произвольного .php на сервере. Если на сайте ещё можно загрузить PHP или стоит PEAR с register_argc_argv, Wordfence прямо пишет про выполнение кода. Changelog 4.5.5.4: усилена загрузка шаблона AJAX info-window, чтобы не подключались чужие локальные файлы. Для этой CVE достаточно не ниже 4.5.5.4.
Проверка
От пользователя сайта, не от root. Перед продом: копия файлов и базы. Нет slug в списке: пачка к сайту не относится. Все пять пакеты из wordpress.org.
wp plugin list --fields=name,status,version | grep -Ei 'geo-my-wp|buddypress-media|zonify|really-simple-ssl|user-registration' wp plugin get geo-my-wp --field=version wp plugin update geo-my-wp buddypress-media zonify really-simple-ssl user-registration
