12 августа 2026 года команда WordPress выпустила версию 7.0.4 с одним исправлением безопасности. Пользователь с ролью «Автор» и выше мог загрузить вредный файл Postscript и выполнить код на сервере, если там используются Imagick и Ghostscript. Уязвимость получила номер CVE-2026-65640, нашла её команда pwn.ai.
Это касается сайтов, где пишут несколько авторов: журналов, блогов с гостевыми постами, редакций. Предыдущий выпуск 7.0.3 эту дыру не закрывает, нужен 7.0.4 или исправленная версия вашей ветки.
Что исправили
В описании уязвимости два условия. На сервере стоят Imagick и Ghostscript, а у злоумышленника есть право upload_files, то есть роль «Автор» или выше. Анонимный посетитель так атаковать не может.
Слабое место в том, как Ghostscript обрабатывает некоторые вложенные файлы. Через загрузку подготовленного Postscript автор доходит до выполнения кода. Если на сервере есть Imagick с Ghostscript и авторы с правом загружать медиа, обновление срочное.
Затронуты все ветки от 7.0.0-7.0.3 вниз до 4.7. Исправленные версии: 7.0.4, 6.9.7, 6.8.8, 6.7.7 и дальше до 4.7.35. Команда WordPress напоминает, что полностью поддерживается только последняя версия, а исправления в старые ветки переносят из вежливости.
Если Imagick нет
Без Imagick или Ghostscript описанная атака не складывается. Но это не повод оставаться на 7.0.3: выпуски безопасности ставят всегда. Проверить, есть ли пакеты на Debian и Ubuntu и подключено ли расширение PHP, можно так:
dpkg -l | grep -Ei 'imagemagick|php-imagick|ghostscript' php -m | grep -i imagick
Если Imagick нужен только для миниатюр, а авторы на сайте чужие люди, после обновления всё равно не раздавайте роль «Автор» без нужды.
Как обновиться
Посмотрите текущую версию. Если она ниже 7.0.4 или исправленной версии вашей ветки, сделайте резервную копию файлов и базы и обновитесь:
wp core version wp core update wp core version
Через админку: Консоль, Обновления, «Обновить сейчас». Сайты с фоновыми автообновлениями, по словам команды WordPress, обновятся сами. Но если вы когда-то отключали обновления ядра или деплоите сайт своим скриптом, проверьте версию руками.
После обновления зайдите в админку и загрузите картинку от тестового автора. Если что-то сломалось, смотрите логи PHP и веб-сервера, а не откатывайтесь на 7.0.3. Подробности есть на странице версии 7.0.4.
Похожая история с ролью автора и загрузкой файлов была в уязвимости wp2shell, а следующий крупный выпуск разобран в обзоре WordPress 7.1.
WordPress 7.0.4 закрывает выполнение кода через загрузку файла для авторов на серверах с Imagick и Ghostscript. Даже если у вас один администратор и нет Imagick, обновите ядро: 7.0.3 уже недостаточно.
