Уязвимость в плагине Modular DS отправляет 40 000 сайтов под удар: что делать владельцам WordPress
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Если вы управляете сайтом на WordPress и пользуетесь плагином Modular DS, самое время перестать надеяться на чудо и заняться обновлениями. Этот популярный инструмент, которым пользуются свыше 40 000 владельцев сайтов для централизованного управления несколькими WordPress-проектами, внезапно стал чем-то вроде распахнутой двери для хакеров.
Группа специалистов по кибербезопасности Patchstack выяснила: в версиях 2.5.1 и младше плагина присутствовали ошибки проектирования и реализации. В результате многие критически важные участки системы были без защиты, а автоматическая функция входа в систему работала настолько "надёжно", что любой желающий мог зайти на сайт как администратор — обходя все аутентификации.
В общих чертах — злоумышленники получили возможность выбирать нужные маршруты, обманывать механизмы защиты и даже прокладывать себе дорожку к полному контролю сайта через авто-вход с правами админа.
Эксперты объяснили: когда сайт уже подключён к системе Modular (есть действующие токены), любой запрос проходит все проверки, ведь между запросом и Modular не было криптографической связи. Это открывало киберпреступникам целый ряд лазеек: от удалённого входа до доступа к чувствительной информации пользователей или самой системы.
Уязвимость получила официальную маркировку CVE-2026-23550 и беспрецедентный рейтинг опасности — 10 из 10. При этом атаки уже зафиксированы: первые попытки взлома случились 13 января 2026 года. Разработчики плагина Modular DS получили уведомление через день, к их чести, исправление выпустили буквально через несколько часов.
Теперь Modular DS версии 2.5.2. Пользователям плагина рекомендуют срочно обновляться и следовать инструкции: проверить признаки взлома, пересоздать так называемые WordPress salts (уникальные секретные данные для защиты паролей), обновить OAuth-аккаунты, просканировать сайт на наличие вредоносных компонентов.
Словом, если не хотите видеть свой сайт в чужих руках — не тяните с обновлением, проверьте защиту и внимательно следите за свежими отчётами в сфере кибербезопасности.
PEREC.RU
Сколько ни молись на безопасность, одна неудачно открытая дверь — и твой сайт уходит к новым хозяевам. Плагин Modular DS — свежий пример: 40 000 веб-проектов оказались под угрозой полномасштабного захвата. Причина традиционно забавна — щель в логике безопасности, через которую можно было организовать вечеринку без приглашений: любой мог авторизоваться администратором, если сайт был подключён к сервису.
Забавно, но это именно тот случай, когда исправления прилетели не спустя месяцы резиновых апдейтов, а за пару часов — видимо, когда запахло большими репутационными убытками. А пока Patchstack с важным видом объясняли масштабы бедствия, хакеры уже начали эксплуатировать лишние привилегии: первые атаки, по данным WP.one, замечены 13 января 2026 года. Владелец плагина был предупреждён на следующий день и, будто проснувшись в холодном поту, выпустил патч 2.5.2.
Но теперь для большинства владельцев реальный выбор состоит только в том, запускать ли обновление самому или подождать, пока этим займутся посторонние руки. Рекомендации банальны: обновить плагин, сменить секретные ключи (salts), пересоздать OAuth и проверить сайт до скрипа. Как показывает практика, кибернабеги не дремлют, а список участников только растёт. Так что если не хочется, чтобы твой сайт стал музеем чужих достижений, пришло время хоть раз прислушаться к советам специалистов. Впрочем, желающих слушать — как всегда, единицы.
