Уязвимость повышения привилегий в WordPress-плагине aBlocks (CVE-2026-57386)
В экосистеме WordPress выявлена очередная угроза, связанная с популярными сторонними расширениями. На этот раз под удар попал плагин aBlocks от компании Kodezen LLC — уязвимость позволяет неаутентифицированным или обладающим минимальными правами пользователям получить более широкие полномочия в системе.
Подробности
Уязвимость получила идентификатор CVE-2026-57386 и классифицируется как «Incorrect Privilege Assignment» (некорректное назначение привилегий), что приводит к повышению привилегий (Privilege Escalation). Согласно описанию, проблема присутствует во всех версиях плагина aBlocks до 2.9.1 включительно (то есть от n/a before 2.9.1).
Оценка по шкале CVSS v3 составляет 8.8 балла, что соответствует высокому уровню критичности. Такой балл обычно указывает на возможность эксплуатации без сложных предварительных условий и с существенным воздействием на конфиденциальность, целостность и доступность ресурсов. В случае с WordPress повышение привилегий может привести к захвату контроля над сайтом: злоумышленник способен получить права администратора, устанавливать произвольные плагины и темы, изменять контент или внедрять вредоносный код.
Плагин aBlocks используется для расширения возможностей блочного редактора Gutenberg и, по данным каталога WordPress.org, установлен на тысячах сайтов. Это делает уязвимость особенно опасной для владельцев ресурсов, которые не следят за актуальностью версий расширений.
Что делать
Разработчик уже выпустил исправление — версию 2.9.1. Владельцам сайтов на WordPress рекомендуется как можно скорее обновить плагин aBlocks до указанной версии или более поздней. Если по каким-то причинам обновление невозможно, следует рассмотреть временные митигации:
- отключить плагин до момента установки патча, если он не критичен для работы сайта;
- ограничить доступ к административной панели WordPress по IP-адресам;
- усилить мониторинг журналов аутентификации и действий пользователей на предмет подозрительной активности;
- проверить наличие аккаунтов с необычно высокими правами и при необходимости провести аудит ролей.
Также стоит убедиться, что на сайте используются актуальные версии ядра WordPress и других плагинов, а также включена двухфакторная аутентификация для административных учётных записей.
Уязвимость CVE-2026-57386 — серьёзный повод пересмотреть политику управления обновлениями в вашей инфраструктуре. Повышение привилегий в WordPress-плагинах остаётся одним из самых распространённых векторов атак, и своевременная установка патчей является ключевой мерой защиты. Специалисты SafeKit рекомендуют не откладывать обновление aBlocks до версии 2.9.1 и провести внеплановую проверку безопасности сайтов, где используется это расширение.
Источник: CVE Project (cvelistV5)