11 сентября 2026 года Wordfence опубликовала сведения об уязвимости GEO my WP. Сайты с версиями до 4.5.5.3 включительно нужно обновить до 4.5.5.4 или более нового исправленного выпуска. Ошибка позволяет посетителю без аккаунта подключать локальные PHP-файлы через обработчик информационного окна.
Уязвимость CVE-2026-85200 относится к Local File Inclusion, или LFI. Это подключение файла, который уже находится на сервере. Оно отличается от простой загрузки нового файла: сервер исполняет PHP-код подключённого файла в контексте приложения.
Когда подключение файла превращается в выполнение чужого кода
Последствия зависят от окружения. Если атакующий может разместить подходящий PHP-файл и затем подключить его, возникает путь к выполнению кода. В записи CVE также описан отдельный вариант для окружений с установленным PEAR и включённым register_argc_argv: там включение файла может использоваться для записи и запуска произвольного кода.
Это не означает, что каждый сайт с плагином одинаково уязвим ко всем последствиям. Но отсутствие одного дополнительного условия не исправляет саму возможность небезопасного подключения файлов. Возможны обход ограничений доступа и раскрытие чувствительных данных.
Что сделать на сайте
Проверьте версию geo-my-wp в списке установленных плагинов. Перед обновлением сохраните резервную копию, затем установите исправленный выпуск и проверьте карты, поиск по расположению и информационные окна. Если обновление откладывается, временно отключите плагин, учитывая влияние на страницы, которые от него зависят.
При признаках атаки проверьте загруженные PHP-файлы и изменения в каталогах сайта. Одного ограничения загрузки файлов недостаточно считать сайт исправленным: оно затрудняет лишь часть возможной цепочки.
Основное действие остаётся прежним: заменить уязвимую версию плагина. Настройки сервера и защитные правила полезны как дополнительные меры, а не вместо исправления.
Для серверной части также важны исправления уязвимостей PHP.
