CVE-2026-86781: уязвимость в SSL Zen позволяет подписчикам скачать TLS-приватный ключ сайта
В WordPress-плагине SSL Zen — SSL Certificate Installer & HTTPS Redirects обнаружена уязвимость CVE-2026-86781, позволяющая любому авторизованному пользователю, включая подписчиков, скачать приватный TLS-ключ сайта, сертификаты и диагностические логи. Проблема затрагивает версии плагина до 4.7.40 и несёт критический характер: раскрытие приватного ключа ставит под угрозу весь HTTPS-трафик сайта.
Подробности
Уязвимость затрагивает плагин SSL Zen — SSL Certificate Installer & HTTPS Redirects в версиях до 4.7.40. Согласно описанию CVE, процедура скачивания файлов сертификата запускается на раннем этапе жизненного цикла административного запроса WordPress и не проверяет ни права пользователя, ни nonce. Это означает, что для эксплуатации достаточно иметь любую действующую учётную запись на сайте, даже с ролью Subscriber. Через эту процедуру злоумышленник может скачать: - приватный TLS-ключ сайта; - файлы сертификатов; - диагностические логи. CVSS-оценка в записи CVE не указана. Однако последствия раскрытия приватного TLS-ключа критичны: обладая им, атакующий может расшифровывать и подменять HTTPS-трафик, проводить атаки типа «человек посередине» и выдавать себя за легитимный сайт. Дополнительный риск создают диагностические логи, которые могут содержать внутренние данные о конфигурации и инфраструктуре.Что делать
Основная рекомендация — как можно скорее обновить плагин SSL Zen — SSL Certificate Installer & HTTPS Redirects до версии 4.7.40 или выше, где уязвимость устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть следующие митигации: - временно деактивировать плагин, если он не критичен для работы сайта; - ограничить регистрацию новых пользователей и пересмотреть существующие учётные записи, особенно с низкими ролями; - усилить мониторинг доступа к административным запросам и файлам сертификатов; - проверить логи веб-сервера на предмет подозрительных скачиваний TLS-ключей и сертификатов. Если есть основания полагать, что приватный ключ уже был скомпрометирован, необходимо немедленно провести перевыпуск TLS-сертификата с генерацией новой ключевой пары, а также ротацию всех связанных секретов. Старый ключ следует считать скомпрометированным без возможности восстановления доверия к нему. Итог: CVE-2026-86781 — серьёзная уязвимость раскрытия приватного ключа в плагине SSL Zen, эксплуатация которой не требует высоких привилегий. Ключевая мера защиты — обновление до версии 4.7.40; при подозрении на компрометацию обязателен перевыпуск сертификата.Источник: CVE Project (cvelistV5)