Для ошибки обновления нужно исправление WordPress. Для Brotli важно проверить, какой декодер использует сервер, и обновить пакет, в который он входит.
Что происходит во время обновления WordPress
Когда WordPress устанавливает полный пакет обновления, временные файлы оказываются по предсказуемым адресам, доступным через веб-сервер. Ошибка позволяет постороннему выполнить код, если его запрос попадёт в нужный момент обновления. Учётная запись на сайте для этого не нужна.
Команда WordPress исправила ошибку 28 октября в версии 7.1.4. Запись в каталоге CISA от 3 ноября подтверждает, что уязвимость применяли за пределами лаборатории. Число взломанных сайтов CISA не приводит.
Как запрос WordPress доходит до декодера Brotli
Когда другой сайт сообщает WordPress, что сослался на одну из его записей, WordPress может сам загрузить страницу и проверить ссылку. Такое уведомление называется pingback. Если удалённый сервер отвечает данными, сжатыми Brotli, а установленная на сайте сборка libcurl поддерживает этот формат, ответ передаётся декодеру.
Fortbridge воспроизвела выполнение кода через этот механизм в лаборатории. Для описанного сценария нужны доступные извне pingback-уведомления, запись, которая их принимает, и уязвимый декодер Brotli. Ошибка CVE-2026-111497 находится в самом декодере. Наличие WordPress на сервере ещё не говорит, что такая атака сработает.
Какие обновления проверить
Для CVE-2026-119977 проверьте версию WordPress и наличие исправления в вашей ветке. Если сайт обслуживает хостинг, отдельно уточните, обновлён ли декодер Brotli, который загружает libcurl при работе PHP. Эти обновления могут устанавливаться независимо друг от друга.
Редакция EALP · Обновлено