4 сентября 2026 года в NVD вышли четыре карточки high и critical по плагинам WordPress: три от Wordfence, одна от WPScan. Три без логина, одна с subscriber. Это не та выборка, что в дайджесте с ACF Extended и Auto x LINE, и не разбор Embed HTML5 Game и Amelia Premium.
Самая широкая поверхность: Divi Ajax Filter (slug divi-ajax-filter), локальное включение PHP через параметр custom_loop_template, патч Wordfence 5.1.3. Вендор в changelog 5.1.3 от 11 августа 2026 прямо пишет CVE-2026-11613. Рядом ACPT (Premium), slug advanced-custom-post-type: гость через публичную user-форму переписывает почту и пароль любой учётки, патч Wordfence 2.0.67. GitHub-сборка AI Website Builder (slug gw-website-builder-main) в WPScan без исправленной версии. NIST своей оценки ни по одной из четырёх записей на 4 сентября 2026 не выставил.
Коротко: четыре карточки 4 сентября
- CVE-2026-11613, Divi Ajax Filter (slug
divi-ajax-filter) <= 5.1.2. LFI без логина черезcustom_loop_template, только еслиloop_templatesравенcustom-template. Wordfence: CVSS 3.1 9.8 CRITICAL. Патч Wordfence: 5.1.3. - CVE-2026-15354, ACPT (Premium) (slug
advanced-custom-post-type) <= 2.0.66. Гость черезsubmit()задаёт целевой user ID и вызываетwp_update_user(). Wordfence: CVSS 3.1 9.8 CRITICAL. Патч Wordfence: 2.0.67. Нужна публичная user-форма с анонимной отправкой. - CVE-2026-82923, AI Website Builder (GitHub build) 1.0.0, slug
gw-website-builder-main. REST без авторизации и nonce: установка плагинов и тем, импорт с чужого URL, запись файла в uploads, удаление контента. WPScan: CVSS 3.1 9.8 CRITICAL, «No known fix». - CVE-2026-12483, LearnDash LMS (slug
sfwd-lms) <= 5.1.5. Subscriber на курсе с загрузкой заданий обходит проверку типа файла: валидируется только первый файл в массиве. Wordfence: CVSS 3.1 7.5 HIGH. Патч Wordfence: 5.1.5.1. Каталог:wp-content/uploads/learndash/assignments/.
Почему это важно на практике
Три из четырёх без логина. Divi Ajax Filter стоит на магазинах и каталогах на теме Divi: LFI здесь не «прочитать /etc/passwd», а выполнить уже лежащий на диске PHP, в том числе загруженный другим плагином. ACPT бьёт в учётку администратора, если на сайте есть публичная user-форма. GitHub-сборка AI Website Builder по описанию NVD ставит плагины и пишет файл в uploads: на хосте, который исполняет PHP из uploads, это удалённый код. LearnDash уже требует subscriber и включённые assignment uploads, плюс AC:H: RCE только если с сервера сняли запрет на PHP в этом каталоге.
Оценки на 4 сентября 2026: у трёх карточек балл поставил CNA Wordfence, у AI Website Builder CNA WPScan. Статус NVD у Divi Ajax Filter и ACPT: Not Scheduled. У LearnDash и AI Website Builder: Received. Для обновления балл NIST не нужен: есть slug, уязвимая версия и (где он есть) патч Wordfence.
Приоритет простой. Сначала GitHub-сборка AI Website Builder, если grep её нашёл: патча в WPScan нет, пакет снимают. Затем ACPT ниже 2.0.67, если на сайте есть публичные user-формы. Потом Divi Ajax Filter ниже 5.1.3 с loop templates в режиме custom-template. LearnDash закрывается обновлением до 5.1.5.1 и проверкой каталога assignments. Отдельного подтверждения массовой эксплуатации именно этих четырёх CVE в карточках NVD, Wordfence и WPScan на 4 сентября 2026 нет.
Ни один из четырёх slug на 4 сентября 2026 не отдаётся API wordpress.org как пакет каталога. wp plugin update из wordpress.org их не подтянет. Divi Ajax Filter обновляют из кабинета Divi Engine, ACPT из acpt.io, LearnDash из кабинета StellarWP / LearnDash. GitHub-сборку AI Website Builder не ждут в каталоге.
CVE-2026-11613: Divi Ajax Filter, LFI в custom_loop_template
Карточка NVD опубликована 4 сентября 2026, 05:17 UTC, источник Wordfence, статус Not Scheduled. Описание: во всех версиях по 5.1.2 включительно параметр custom_loop_template позволяет гостю включить и выполнить произвольный .php на сервере. Это обход контроля доступа, чтение данных и код, если .php можно загрузить и затем включить. Условие Wordfence и NVD одно: параметр loop_templates должен быть custom-template. Без этого режима карточка дыру не обещает. CWE-98. Оценка Wordfence: CVSS 3.1 9.8, вектор AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Исследователь Wordfence: h0xilo. Публикация Wordfence: 3 сентября 2026.
Патч Wordfence называет прямо: Update to version 5.1.3. В changelog Divi Engine версия 5.1.3 датирована 11 августа 2026. Пункт SECURITY: «Custom loop templates only load from the child theme templates folder, blocking unsafe file paths (CVE-2026-11613)». Номер CVE в релизе вендора есть, это не догадка по дате. На 4 сентября 2026 в том же changelog уже есть линейка 5.2.x (5.2.4 от 20 августа 2026). К этой CVE достаточно не ниже 5.1.3. Не путать Divi Ajax Filter (Divi Engine, slug divi-ajax-filter) с самой темой Divi от Elegant Themes: тема эту дыру не закрывает.
CVE-2026-15354: ACPT, публичная форма переписывает администратора
NVD: 4 сентября 2026, 07:17 UTC, Wordfence, Not Scheduled. Во всех версиях по 2.0.66 включительно в submit() нет проверки прав: неаутентифицированная отправка формы задаёт целевой user ID и вызывает wp_update_user(). Гость меняет email и пароль любой учётки, включая администратора. Wordfence в заголовке уточняет параметр: acpt_form_post_id. Условие то же, что в NVD: нужна публичная ACPT user-форма, которая принимает анонимные отправки. Без такой формы карточка захват не обещает. CWE-269. Оценка Wordfence: CVSS 3.1 9.8, тот же вектор с PR:N. Исследователь: d.v4n_s3c. Публикация Wordfence: 3 сентября 2026. Вендор в карточке NVD: Mauro Cassani.
Патч Wordfence: 2.0.67. В changelog ACPT версия 2.0.67 датирована 18 августа 2026. Среди пунктов: «[Security] Fixed a form submission issue that could let a public form overwrite the wrong record» и «[Security] Strengthened REST API authentication so it properly checks permissions». Номера CVE в этом пункте нет, смысл совпадает с карточкой Wordfence. Не путать ACPT (slug advanced-custom-post-type) с ACF Extended из дайджеста 2 сентября и с ACF Pro: это другой пакет и другой кабинет обновлений.
CVE-2026-82923: AI Website Builder с GitHub, REST без прав, патча нет
NVD: 4 сентября 2026, 10:17 UTC, источник WPScan, статус Received. Плагин AI Website Builder WordPress (GitHub build) 1.0.0 не проверяет авторизацию и nonce на REST-маршрутах. Гость ставит и активирует плагины и темы, импортирует контент с URL под своим контролем, пишет выбранный файл в uploads и удаляет контент и медиа. На хосте, который отдаёт PHP из uploads, запись файла это удалённое выполнение кода. Оценка WPScan: CVSS 3.1 9.8, вектор AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. CWE в открытой карточке WPScan: CWE-862. Исследователь: Erwan LR (WPScan). Публикация WPScan: 2 сентября 2026.
Заголовок WPScan: Unauthenticated RCE via Unprotected REST Routes. На карточке плагина WPScan пишет slug gw-website-builder-main, имя: AI Website Builder – Gravity Write (GitHub build). Исправления нет: «No known fix». Ссылок wordfence.com в references этой карточки NVD нет. Открытая карточка WPScan конкретные пути REST не перечисляет, в статью они не выдуманы. Если grep нашёл slug или заголовок «AI Website Builder», пакет снимают. Не ждут wp plugin update из wordpress.org: API plugin_information для этого slug отвечает 404.
CVE-2026-12483: LearnDash, загрузка PHP в assignments
NVD: 4 сентября 2026, 14:17 UTC, Wordfence, Received. В версиях по 5.1.5 включительно функция learndash_fileupload_process обходит массив файлов, а тип проверяет только у первого. Subscriber и выше, записанный на курс с включённой загрузкой заданий, может отправить запрещённый тип, включая PHP, в wp-content/uploads/learndash/assignments/. Wordfence отдельно пишет: загруженные файлы дают RCE, только если конфигурацию сервера уже меняли так, чтобы этот каталог исполнял PHP. По умолчанию этого нет. CWE-434. Оценка Wordfence: CVSS 3.1 7.5, вектор AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H. Исследователь: Nguyen Ngoc Duc (duc193). Публикация Wordfence: 3 сентября 2026. Вендор в карточке NVD: StellarWP.
Патч Wordfence: 5.1.5.1. Ссылка из references NVD ведёт на продуктовую страницу LearnDash у Liquid Web, не на changelog с номером CVE. На 4 сентября 2026 отдельной строки вендора с CVE-2026-12483 в открытых источниках этой выборки нет: ориентир по исправленной версии остаётся карточка Wordfence. Не путать LearnDash LMS (slug sfwd-lms) с аддонами вроде Powerpack for LearnDash: эта CVE про ядро LMS.
Что проверить WP-CLI
Команды для сервера, где есть WP-CLI, из каталога сайта или с --path=. Перед обновлением: копия файлов и базы. Эти четыре slug из wordpress.org не ставятся, wp plugin update их не подтянет.
Есть ли эти slug и какие версии. GitHub-сборка могла лежать под другим именем каталога, поэтому в списке есть title:
wp plugin list --fields=name,title,status,version | grep -Ei 'divi-ajax-filter|advanced-custom-post-type|gw-website-builder|sfwd-lms|ajax filter|acpt|website builder|learndash'
Ориентиры по источникам, не по догадке:
- gw-website-builder-main: 1.0.0 уязвима, патча в WPScan нет;
- advanced-custom-post-type: всё <= 2.0.66 уязвимо, цель Wordfence 2.0.67;
- divi-ajax-filter: всё <= 5.1.2 уязвимо, цель Wordfence 5.1.3 (в changelog Divi Engine эта строка с CVE есть);
- sfwd-lms: всё <= 5.1.5 уязвимо, цель Wordfence 5.1.5.1.
Версии после обновления из кабинета вендора, не из wordpress.org:
wp plugin get divi-ajax-filter --field=version wp plugin get advanced-custom-post-type --field=version wp plugin get sfwd-lms --field=version
Ожидаемый результат: не ниже 5.1.3, 2.0.67 и 5.1.5.1, либо более новая строка, если вендор уже выпустил следующий релиз. Если grep ничего не показал по конкретному slug, эта CVE к сайту не относится. Не обновляйте тему Divi вместо divi-ajax-filter, ACF вместо ACPT и аддон LearnDash вместо sfwd-lms.
AI Website Builder, если активен: сначала деактивировать, затем удалить. wp plugin delete снимает файлы плагина, не чужие опции в базе. Перед удалением копия каталога плагина, если нужен разбор.
wp plugin deactivate gw-website-builder-main wp plugin delete gw-website-builder-main
Команда удаляет только указанный slug. Если grep показал другое имя каталога с тем же title, подставьте его, не копируйте строку вслепую. Не подставляйте сюда divi-ajax-filter, advanced-custom-post-type или sfwd-lms: у них есть патч у вендора, их обновляют, а не сносят вместе с GitHub-сборкой без фикса.
Пользователи и uploads
Смотреть пользователей стоит из-за ACPT: advisory как раз про перезапись email и пароля администратора. Команды только читают списки:
wp option get users_can_register wp user list --role=administrator --fields=ID,user_login,user_email,user_registered,roles wp user list --fields=ID,user_login,user_email,user_registered,roles --format=table
Ищите почту «мимо» организации, дату регистрации после включения уязвимой версии, лишнюю роль administrator, смену email у давно существующего администратора. Пароли через WP-CLI не печатайте. Если ACPT стоял ниже 2.0.67 и на сайте были публичные user-формы, после 2.0.67 сменить пароли администраторов: advisory CVE-2026-15354 как раз про их перезапись.
Загрузка файла есть у LearnDash и у AI Website Builder. Каталог LearnDash Wordfence называет прямо. Команды ниже только ищут PHP в uploads, ничего не удаляют. Запускайте из корня сайта, путь поправьте, если uploads вынесен.
find wp-content/uploads/learndash/assignments -type f \( -iname '*.php' -o -iname '*.phtml' -o -iname '*.phar' \) 2>/dev/null find wp-content/uploads -type f \( -iname '*.php' -o -iname '*.phtml' -o -iname '*.phar' \) 2>/dev/null | head
Пустой вывод по assignments не доказывает, что курса с загрузками не было: файлы могли лежать с другим расширением. Непустой PHP в uploads это повод смотреть дату, владельца и access-лог, а не сразу rm без копии. Wordfence для LearnDash отдельно подчёркивает: RCE из этого каталога бывает, когда сервер уже научили исполнять PHP из uploads. Имеет смысл проверить, что php-fpm и nginx этот путь не обрабатывают как скрипт.
Маркеры в access-логе nginx (путь к логу свой). Это не доказательство взлома, а способ понять, стучались ли. Рабочий payload в лог не нужен: достаточно slug, параметра и каталога из advisory.
sudo grep -Ei 'custom_loop_template|acpt_form_post_id|gw-website-builder|learndash/assignments|divi-ajax-filter|sfwd-lms' /var/log/nginx/access.log | tail -n 200
Где обычно ломается реакция
- Путают Divi Ajax Filter с темой Divi. Патч этой CVE: 5.1.3 у Divi Engine, не «последняя Divi».
- Путают ACPT с ACF / ACF Extended. Нужен slug
advanced-custom-post-type, кабинет acpt.io. - Считают, что LFI в Divi Ajax Filter открыт на любом фильтре. Карточка требует
loop_templates=custom-template. - Ждут
wp plugin updateиз wordpress.org. Эти четыре slug в каталоге на 4 сентября 2026 не отдаются. - Оставляют GitHub-сборку AI Website Builder «пока нет патча». WPScan пишет «No known fix»: пакет снимают.
- Находят PHP в
learndash/assignmentsи считают сайт уже с RCE. Wordfence ставит AC:H: нужен ещё исполняемый uploads. - Ждут оценку NIST. Для обновления её не нужно: CNA, slug и версия уже есть.
Вывод
4 сентября 2026 NVD разложил четыре плагинные CVE: три critical 9.8 и один high 7.5. Три без логина. Самая широкая пара с патчем: LFI в Divi Ajax Filter (5.1.3, вендор сам пишет номер CVE) и захват учётки в ACPT (2.0.67). Самый неприятный хвост: GitHub-сборка AI Website Builder без исправленной версии в WPScan. LearnDash бьёт уже залогиненного студента и упирается в настройки сервера.
Рабочий минимум: сверить четыре slug, снять AI Website Builder, обновить остальные три из кабинета вендора до версий из карточек Wordfence. Затем администраторы, свежие email и PHP в uploads. Эксплойт в статье не нужен: версия, лишний administrator и файл в assignments говорят достаточно.
