Уязвимость выполнения произвольного кода в WordPress-плагине Kirki (CVE-2026-103065)

Команда проекта CVE сообщила об уязвимости высокого уровня риска в популярном плагине Kirki, используемом для настройки внешнего вида сайтов на WordPress. Проблема получила идентификатор CVE-2026-103065 и оценку CVSS 8.2, что относит её к категории HIGH. Уязвимость позволяет атакующему выполнить произвольный код на уязвимом сайте, поэтому игнорировать её не стоит даже владельцам небольших ресурсов.

Подробности

Уязвимость затрагивает продукт Themeum Kirki — плагин для WordPress, широко применяемый для кастомизации тем и настройки пользовательских элементов интерфейса. Под действие проблемы попадают все версии Kirki начиная с неуказанной (n/a) и заканчивая 6.3.1 включительно. По данным CVE-записи, речь идёт о недостаточной проверке указанного количества во входных данных (Improper Validation of Specified Quantity in Input), что в свою очередь позволяет получить доступ к функциональности, не ограниченной должным образом механизмами контроля доступа (ACL). Иными словами, атакующий может обойти предусмотренные ограничения и добраться до возможностей, которые должны быть доступны только привилегированным пользователям.

Итогом такой ошибки валидации становится выполнение произвольного кода (Arbitrary Code Execution) — одна из наиболее опасных категорий уязвимостей для веб-приложений. Успешная эксплуатация даёт злоумышленнику возможность запускать собственный код на сервере, что потенциально ведёт к установке бэкдоров, краже данных, перенаправлению посетителей или полному захвату сайта. Оценка CVSS 8.2 подтверждает высокий уровень угрозы. Дополнительных сведений о конкретных векторах атаки или наличии публичных эксплойтов в записи CVE не приводится.

Что делать

Основная и наиболее надёжная рекомендация — обновить плагин Kirki до версии, в которой уязвимость устранена. Если на момент прочтения патч ещё не выпущен, следует рассмотреть временные меры защиты: ограничить доступ к административной части сайта, усилить мониторинг подозрительной активности и, при возможности, временно отключить плагин до выхода исправления. Также имеет смысл проверить целостность файлов сайта и журналы доступа на предмет признаков компрометации, особенно если сайт долгое время работал с уязвимой версией плагина. Владельцам нескольких ресурсов стоит убедиться, что обновление применено ко всем экземплярам WordPress, где установлен Kirki.

Уязвимость CVE-2026-103065 в плагине Kirki — серьёзный повод пересмотреть подход к обновлению компонентов WordPress. Высокая оценка CVSS и возможность выполнения произвольного кода делают промедление рискованным: своевременная установка патча и базовые меры гигиены безопасности помогут снизить вероятность эксплуатации и защитить сайт от потенциального захвата.

Источник: CVE Project (cvelistV5)