Тем временем, в WordPress закрыли CVE-2026-119977, выпустив версию 7.1.4.

WordPress Core 4.7.0 — 7.1.3 — Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution

Это была дырка, которая позволяла выполнить произвольный код в момент обновления WordPress на сайте. Именно в узком окне времени, когда апдейт уже начался, но ещё находится в процессе распаковки. И уже фиксировалась долбёжка сайтов вредоносными запросами, чтобы этот момент поймать.

Тебе нужно обновить сайт до версии 7.1.4, где уязвимости нет. Но уязвимость твоей старой версии сработает именно тогда, когда ты попытаешься её обновить. 

Вот же дилемма.

P.S. Допустим, обновление было включено автоматически, — ради безопасности! — из-за чего сайт как раз успешно и взломали. Кто виноват? Кто ошибся? Разумно ли такой патч вообще считать патчем? Да тут целую кандидатскую по философии можно написать!