900K+ WordPress сајтови изложени – Ризик од комплетно преземање на сајтот

Објавено: 13.02.2026

Откриена е критична ранливост во WPvivid Backup & Migration WordPress додатокот, еден од најшироко користените алатки за бекап и миграција.
Овој пропуст дозволува извршување на произволен код од далечина (RCE) преку поставување на произволни датотеки без автентикација, што може да резултира со целосно преземање на веб‑сајтот.

CVE: CVE‑2026‑1357
Сериозност: 9.8 (Критично)
Засегнати верзии: Сите верзии до 0.9.123

Иако експлоатацијата бара валиден клуч ограничен на 24‑часовен прозорец, реалната изложеност значително се зголемува.
Овој додаток обично се користи за:
• Миграции на сајтови
• Префрлање на бекапи помеѓу хостови
Тоа значи дека функцијата за поставување е: активно овозможена, често активно овозможена и доволно за реална експлоатација.

Поправката воведува:
✔ Блокирање на извршување кога RSA декрипцијата не успее
✔ Санитација на имиња на датотеки
✔ Ограничувања на поставување само за бекап типови датотеки (ZIP, GZ, TAR, SQL)

Ова не е теоретски проблем. Секој WordPress сајт што користи WPvivid без надградба сè уште претставува отворена површина за напад.
➡️ Ажурирајте веднаш на верзија 0.9.124 или
➡️ Оневозможете го додатокот ако не е строго потребен.

🔗 Официјален патч: https://lnkd.in/dSv7FaXS