Впервые за десять лет найден путь прямого взлома WordPress без плагинов. Владельцы сайтов трясутся, команда WP строчит патчи, хакеры ищут новые векторы атаки. А мы спокойно и дотошно разбираемся, как работает ужасный wp2shell.
Разработчики WordPress запускают автоматическую проверку безопасности, которая будет проводиться перед распространением кажд…
В плагине All-in-One WP Migration and Backup для WordPress обнаружили уязвимость, связанную с SQL-инъекцией, которая позволя…
Разработчики WordPress исправили серьезную отраженную XSS-уязвимость на странице авторизации, которая затрагивает все версии…
Хакеры начали эксплуатировать критическую проблему wp2shell в ядре WordPress. Атакующие сканируют интернет в поисках уязвимы…
Злоумышленники атакуют уязвимость в WordPress-плагине Gravity SMTP, который установлен примерно на 100 000 сайтах. Проблема …
В рамках операции Endgame правоохранители очистили от малвари почти 15 000 взломанных WordPress-сайтов и отключили более сот…
Почти 2000 сайтов под управлением WordPress оказались заражены необычной малварью, которая использует комментарии в Steam Co…
В популярном плагине WP Maps Pro для WordPress обнаружили критическую уязвимость, которую злоумышленники уже начали эксплуат…
ИБ-специалисты обнаружили, что более 30 плагинов из пакета EssentialPlugin были скомпрометированы. Еще в 2025 году неизвестн…
В плагине WPvivid Backup & Migration для WordPress обнаружили критическую уязвимость загрузки произвольных файлов, которая в…
Всё как в фильме про хакеров: отправил одно сообщение и получил полноценный RCE. Уязвимость в W3 Total Cache шокирует не только простотой атаки, но и масштабами, ведь этот плагин для WordPress установлен на миллионы сайтов.
В экосистеме WordPress постоянно находят новые уязвимости: от совсем простых до довольно сложных. У многих из них есть CVE, и многие исследователи тоже хотели бы когда‑нибудь увидеть свое имя в NVD. В этой статье я покажу, как поднять домашнюю лабораторию для поиска багов в плагинах WordPress: развернуть WordPress в Docker, подключить Xdebug для динамической отладки, настроить Semgrep как SAST-инструмент и на основе этого собрать базовый пайплайн поиска уязвимостей.
В популярном плагине для WordPress под названием Modular DS обнаружили критическую уязвимость, которую уже используют злоумы…
В популярном плагине для WordPress W3 Total Cache обнаружена критическая уязвимость CVE-2025-9501, позволяющая выполнять про…
Злоумышленники атакуют сайты под управлением WordPress, эксплуатируя критическую уязвимость в плагине Post SMTP, который нач…
В плагине Anti-Malware Security and Brute-Force Firewall для WordPress обнаружили уязвимость, которая позволяет пользователя…
Сегодня разберем недавно найденный баг в WordPress и напишем собственный эксплоит на Python. Уязвимость содержится в copypress-rest-api, позволяет обходить запрет на скачивание плагина из каталога WP и добиваться возможности исполнения команд. Она получила номер CVE-2025-8625 и критический статус.
Компания Wordfence предупреждает о масштабной вредоносной кампании, в рамках которой злоумышленники эксплуатируют критически…
Эксперты «Лаборатории Касперского» зафиксировали волну атак с использованием трояна Efimer. Малварь распространяется через в…
Разработчики популярного блокировщика рекламы Pi-hole предупредили, что имена и email-адреса всех, кто жертвовал средства пр…
Более 200 000 сайтов под управлением WordPress используют уязвимую версию плагина Post SMTP, которая позволяет захватить кон…
Популярный WordPress-плагин Gravity Forms пострадал в результате атаки на цепочку поставок. В результате установщики с офици…
В плагине Forminator для WordPress обнаружили уязвимость, связанную с неавторизованным удалением произвольных файлов, что мо…
Злоумышленники эксплуатируют критическую уязвимость повышения привилегий в WordPress-теме Motors, которая позволяет взламыва…
В свете юридического конфликта между холдингом Automattic и WP Engine, группа бывших разработчиков WordPress при поддержке L…
Аналитики Patchstack обнаружили критическую уязвимость в плагине TI WooCommerce Wishlist для WordPress. Проблема пока не уст…
Хакеры эксплуатируют критическую уязвимость повышения привилегий в плагине OttoKit (ранее SureTriggers) для WordPress для со…
В этом райтапе я покажу, как получить удаленное выполнение кода на сервере через уязвимость функции iconv в библиотеке GNU C Library (glibc). На пути к этой уязвимости проэксплуатируем LFI в плагине BuddyForms для WordPress и проанализируем код мобильного приложения.
Эксперты компании Human обнаружили масштабную мошенническую кампанию Scallywag. С ее помощью пиратские сайты и ресурсы с кор…
Хакеры атакуют уязвимость обхода аутентификации в плагине OttoKit (ранее SureTriggers) для WordPress. Первые атаки были зафи…
Аналитики Sucuri обнаружили, что хакеры используют директорию MU-plugins (Must-Use Plugins) в WordPress, чтобы скрывать вред…
В прошлом году ИБ-исследователи обнаружили 7966 новых уязвимостей в экосистеме WordPress, большинство из которых затрагивали…
Уязвимость в плагине W3 Total Cache, который установлен на более чем миллионе сайтов под управлением WordPress, позволяет зл…
Обнаружена новая вредоносная кампания, жертвами которой уже стали более 5000 сайтов под управлением WordPress. Хакеры создаю…
Сразу в двух плагинах для WordPress, необходимых для работы премиум-темы WPLMS, которая насчитывает более 28 000 продаж, обн…
Злоумышленники уже атакуют критическую уязвимость в плагине Hunk Companion для WordPress, предупреждают специалисты. С помощ…
Сегодня я разберу уязвимость в LiteSpeed Cache — популярном плагине для ускорения работы сайтов. Плагин работает с движками WooCommerce, bbPress, ClassicPress и Yoast, на сегодня у него более пяти миллионов установок. Давай посмотрим, как генерация недостаточно качественных случайных чисел привела к возможности повысить привилегии до админа.
В WordPress-плагине WPForms, который используют более 6 млн сайтов, нашли уязвимость, позволяющую пользователям осуществлять…
Сразу две критические уязвимости обнаружены в плагине для защиты от спама, разработанном CleanTalk. Эти баги позволяют неавт…
Сайт защищен Qrator —
