Уязвимость в get_page_template() позволяет неавторизованному атакующему подсунуть произвольный .php-файл из-за пределов директории темы. Для эксплуатации нужны темы с папкой page- (Twenty Twelve, Neve, Hestia) и наличие pearcmd.php — например, в официальном Docker-образе PHP. Исправление вышло в WordPress 7.1.2, бэкпортировано до версии 4.7. Нашёл Robert Ressl.
Searchlight Cyber обнаружила уязвимость удалённого выполнения кода без авторизации в WordPress Core. Атака не требует предварительных условий и работает на чистой установке. Затронуты версии 6.9.0-6.9.4 и 7.0.0-7.0.1, исправления вышли в 6.9.5 и 7.0.2. Технические детали пока не раскрыты, доступен чекер.
Cloudflare выпустил WAF-правила для CVE-2026-60137 (SQL-инъекция, версии 6.8+) и CVE-2026-63030 (удалённое выполнение кода, версии 6.9+). Исправления вышли в 7.0.2, 6.9.5, 6.8.6. WordPress принудительно обновляет затронутые сайты. Cloudflare-правила включены по умолчанию для всех тарифов, включая бесплатный.