Критическая RCE-уязвимость в WordPress-плагине The Grid (CVE-2026-94169)
В WordPress-плагине The Grid обнаружена уязвимость внедрения кода, позволяющая удалённо выполнять произвольный код на сервере. Проблема затрагивает версии плагина до 2.8.1 включительно. Уязвимости присвоен максимальный рейтинг критичности CVSS 10.
Подробности
Уязвимость относится к классу «Improper Control of Generation of Code» (CWE-94, внедрение кода) и позволяет злоумышленнику осуществлять инъекцию команд. В описании CVE указано, что проблема связана с недостаточной проверкой данных при генерации кода, что в итоге открывает путь к удалённому выполнению произвольного кода (Remote Code Execution, RCE). Под удар попадают все версии плагина The Grid — от ранних релизов вплоть до 2.8.1 включительно. Точная версия, в которой уязвимость была устранена, в записи CVE не указана, поэтому администраторам сайтов следует ориентироваться на актуальные релизы разработчика. Наибольшую опасность уязвимость представляет для публично доступных WordPress-сайтов, где плагин активен и не ограничен дополнительными механизмами защиты. При успешной эксплуатации атакующий может получить контроль над веб-сервером, что ведёт к полной компрометации сайта: краже данных, установке бэкдоров, распространению вредоносного кода или использованию ресурсов сервера в ботнет-активности. Учитывая максимальный рейтинг CVSS, уязвимость можно считать одной из наиболее опасных для экосистемы WordPress в текущем периоде.Что делать
В первую очередь необходимо проверить, установлен ли на вашем сайте плагин The Grid, и уточнить его версию. Если используется версия 2.8.1 или более ранняя, следует как можно скорее обновить плагин до актуального релиза, выпущенного разработчиком. Официальных данных об исправленной версии в записи CVE нет, поэтому рекомендуется регулярно отслеживать обновления на сайте Theme-one и в репозитории WordPress. Если обновление невозможно в кратчайшие сроки, стоит рассмотреть временные меры: отключить плагин до устранения проблемы, ограничить доступ к административной панели по IP-адресам, усилить правила WAF для фильтрации подозрительных запросов. После обновления полезно провести аудит сайта на предмет признаков компрометации — необычных файлов, задач cron, изменений в учётных записях. Также рекомендуется убедиться, что на сервере действует принцип наименьших привилегий для пользователя веб-приложения, а резервные копии сайта регулярно создаются и хранятся в изолированном месте. Это позволит быстро восстановиться в случае инцидента. Итог: CVE-2026-94169 — критическая уязвимость удалённого выполнения кода в WordPress-плагине The Grid (до 2.8.1 включительно). Из-за максимального CVSS 10 и широкой распространённости WordPress-сайтов риск эксплуатации крайне высок. Администраторам необходимо срочно проверить наличие плагина, обновить его или временно отключить, а также провести проверку систем на признаки компрометации.Источник: CVE Project (cvelistV5)