Критические дыры в формах WordPress: как устроены атаки и что проверить на своём сайте сегодня

Автор: Serg · Обновлено: 2026-11-15 · 13 мин

В начале сентября 2026 активно обсуждалась и эксплуатировалась связка критических дыр в WordPress-формах: CVE-2026-14894 в Super Forms и CVE-2026-32475 в Elementor Pro. Класс атаки один: неаутентифицированная загрузка произвольного файла → webshell → полный захват сайта. Wordfence фиксировал массовые попытки (сотни тысяч).

Super Forms — CVE-2026-14894

CVSS 9.8. До версий ≤ 6.3.313 в обработчике submit_form не хватало проверки типа файла; nonce для гостя можно было получить через отдельный nopriv-эндпоинт. Фикс — 6.3.314+ (changelog: hardened file-upload, CVE-2026-14894).

Elementor Pro — CVE-2026-32475

Неаутентифицированная загрузка через виджет Form с File Upload на опубликованной странице. Патч — Pro 4.2.2 (19 августа 2026). У сайтов с просроченной лицензией апдейт может не светиться — проверяйте версию вручную.

Чек-лист владельцу сайта

  1. Обновить Super Forms ≥ 6.3.314 и Elementor Pro ≥ 4.2.2.
  2. Просмотреть wp-content/uploads на свежие .php / .phtml / двойные расширения.
  3. Отключить загрузку файлов в формах, если она не нужна.
  4. WAF / Wordfence / Patchstack — актуальные правила.
  5. Сменить пароли админов и ключи API после подозрений на компрометацию.

Итог

Форма на лендинге — такая же поверхность атаки, как плагин бэкапа. Обновления форм и Elementor Pro должны входить в еженедельный ритуал, а не «когда дойдут руки».

Источник

Похожие материалы