Критическая уязвимость PHP Object Injection в WordPress-плагине Link Whisper Free (CVE-2026-109686)
В плагине Link Whisper Free для WordPress обнаружена критическая уязвимость CVE-2026-109686, связанная с десериализацией недоверенных данных и приводящая к PHP Object Injection. Уязвимость затрагивает все версии плагина вплоть до 0.9.7 включительно и имеет максимальный балл CVSS 9.8. Эксплуатация может привести к полной компрометации сайта.
Подробности
Уязвимость классифицируется как Deserialization of Untrusted Data (CWE-502), которая приводит к PHP Object Injection. Плагин Link Whisper Free обрабатывает данные, поступающие из недоверенных источников, без должной проверки, что позволяет злоумышленнику внедрить произвольный PHP-объект в процесс десериализации. Уязвимы все версии плагина Link Whisper Free начиная с самых ранних и заканчивая 0.9.7 включительно. Информации о наличии исправленной версии на момент публикации записи CVE нет — администраторам сайтов следует внимательно отслеживать обновления от производителя. Последствия эксплуатации PHP Object Injection могут быть крайне серьёзными: в зависимости от доступных в кодовой базе «магических методов» (magic methods) и цепочек классов (POP chains) атакующий способен добиться удалённого выполнения кода, чтения или изменения файлов, обхода аутентификации либо полного захвата сайта. Учитывая максимально высокую оценку CVSS 9.8, уязвимость не требует аутентификации и может эксплуатироваться удалённо с низкой сложностью атаки — то есть без специальных условий и предварительного доступа.Что делать
Основная рекомендация — как можно скорее обновить Link Whisper Free до версии, выпущенной после 0.9.7, если такая появится. До выхода патча целесообразно рассмотреть следующие меры:- Временно отключить или удалить плагин Link Whisper Free, если он не является критически важным для работы сайта;
- Усилить мониторинг журналов веб-сервера и WordPress на предмет подозрительных запросов, связанных с десериализацией;
- Ограничить доступ к административной части сайта, внедрить WAF с правилами против Object Injection и десериализации;
- Провести проверку сайта на наличие индикаторов компрометации: неизвестных файлов, изменённых шаблонов, подозрительных учётных записей;
- Убедиться в наличии актуальных резервных копий и регулярно проверять их целостность.
Источник: CVE Project (cvelistV5)