6 августа 2026 года команда WordPress выпустила версию 7.0.3 с исправлениями безопасности. Обновление закрывает несколько разных проблем, включая отражённую XSS на странице входа, которая при определённых условиях может привести к выполнению PHP-кода. Для сайтов на ветке 7.0 это повод установить исправления, а не ждать заметных признаков взлома.
Самая заметная проблема затрагивает страницу входа
Уязвимость обозначена как CVE-2026-64638 / GHSA-52p2-r8wf-jcrf. Формулировка pre-auth означает, что атакующему не требуется заранее входить на сайт. Но XSS и возможность дальнейшего выполнения PHP не следует превращать в обещание, что любой запрос автоматически захватывает любой сайт: важны условия эксплуатации и доступные возможности приложения.
Релиз также исправляет сохранённые XSS для пользователей с правами Contributor и выше, раскрытие сведений в блоках и лентах, обход подтверждения email и SSRF при проверке URL. Отдельная проблема повышения прав относится к multisite с включённой регистрацией пользователей. Не каждое из этих условий присутствует на каждом сайте.
Как проверить результат обновления
Перед изменениями нужна восстанавливаемая копия файлов и базы. Затем следует установить исправленную версию поддерживаемой ветки и проверить вход, редактор, формы и основные страницы. Номер 7.0.3 относится к этому августовскому релизу: при обслуживании сайта позже нужно выбирать актуальное безопасное обновление, а не специально возвращаться к нему.
На момент анонса перенос исправлений на старые ветки ещё продолжался; WordPress отдельно напомнил, что активно поддерживается только самая новая версия. Нельзя считать любую старую установку исправленной только из-за обещанного переноса. Предыдущий выпуск 7.0.2 тоже закрывал другие уязвимости, но не заменяет этот набор обновлений.
Обновление устраняет известные ошибки, но не доказывает, что до него сайт не был скомпрометирован. При подозрительных действиях нужны отдельная проверка пользователей, файлов и журналов, а также восстановление из доверенной копии при необходимости. Главный шаг для обычного обслуживания состоит в установке актуальных исправлений и проверке работы сайта после них.
