50 тысяч сайтов WordPress под угрозой из-за уязвимости плагина

Около 50 000 сайтов на WordPress оказались под реальной угрозой полного захвата из-за недавно обнаруженной критической уязвимости в популярном плагине. В середине декабря 2025 года исследователь кибербезопасности Андреа Боккетти сообщил о проблеме компании Wordfence. Опасное место нашли в Advanced Custom Fields: Extended — это дополнение к основному плагину Advanced Custom Fields (ACF), с помощью которого пользователи могут добавлять кастомные поля к постам и страницам. Сегодня ACF активно используется на примерно 100 тысячах сайтов WordPress только официально.

Суть уязвимости проста до предела: ограничения по ролям в формах создания или редактирования пользователей не работали, как должны. То есть, любой неавторизованный пользователь мог, воспользовавшись формой с соответствующим полем, сам себе назначить роль администратора — и получить полный контроль над сайтом. Wordfence прямо указал, что это типичная возможность эскалации прав, благодаря чему сайт мог спокойно переходить под управление злоумышленника.

Уязвимость обнаружили в версиях плагина до 0.9.2.1 включительно, ей присвоен идентификатор CVE-2025-14533 и максимальный балл опасности — 9.8 из 10. Однако, чтобы эксплуатировать баг, нужна нетривиальная ситуация: на сайте должна быть форма 'создать пользователя' (или 'обновить пользователя') с открытой возможностью задавать роль. Но утешение слабое — пользователи редко читают документацию плагинов, а копипастеры любят делать формы побыстрее.

Разработчики довольно быстро выпустили исправляющую версию — 0.9.2.2. По данным WordPress, на момент написания текста примерно 50 000 сайтов уже обновились, столько же остаются открыты для потенциальных атак.

Признаков массовой эксплуатации сейчас не фиксируется. Однако после огласки баг становится лакомым куском для киберпреступников — теперь любой энтузиаст пентеста или не очень умеющий хакер по всему интернету наверняка попробует счастья на забытых о безопаности WordPress-ресурсах.