Срочное обновление LiteSpeed Cache: обнаружены три уязвимости, включая XSS на 7 миллионах сайтов
Команда безопасности WPScan и разработчики LiteSpeed выпустили экстренное предупреждение для владельцев сайтов на WordPress. В популярнейшем плагине оптимизации LiteSpeed Cache (более 7 миллионов активных установок) обнаружены три новые уязвимости. Самая опасная из них позволяет неавторизованным злоумышленникам внедрять вредоносный код через обычные комментарии.
Разработчики оперативно закрыли бреши в свежем релизе 7.9.2. Всем администраторам настоятельно рекомендуется обновить плагин как можно скорее.
В чем суть угроз (релиз 7.9.2):
- CVE-2026-113499 и CVE-2026-113500 (Хранимая XSS): Самая критическая проблема. Из-за недостаточной фильтрации в механизме оптимизации HTML-кода (HTML rewriting), неавторизованный пользователь может оставить на сайте комментарий с вредоносным скриптом. Когда этот комментарий будет опубликован, JavaScript выполнится в браузере любого посетителя — в том числе администратора, что может привести к перехвату сессии и полному взлому сайта.
- CVE-2026-113501 (Отсутствие проверки прав): Уязвимость позволяет пользователям с минимальной ролью (например, «Подписчик») скрывать и игнорировать критические системные уведомления в админке WordPress. Это может быть использовано для того, чтобы скрыть от других администраторов предупреждения о взломе или уязвимостях.
Что делать веб-мастерам:
- Обновитесь до версии 7.9.2 или выше. Это самый надежный способ защиты. Обновление можно запустить прямо из консоли WordPress или через WP-CLI командой wp plugin update litespeed-cache.
- Проверьте настройки комментариев. Если у вас включено автоматическое одобрение комментариев без модерации, временно отключите его в разделе Настройки → Обсуждение, пока все ваши сайты не будут обновлены.
- Проведите аудит сессий. Рекомендуется проверить список пользователей и активных сессий на предмет подозрительной активности, особенно если на сайте разрешена свободная регистрация или комментирование.
Вот превью-картинка для этой новости. Это естественный, «живой» кадр из ИТ-офиса — системный администратор сосредоточенно работает за монитором в серверной, проводя срочный аудит безопасности:Пожалуйста, оцените текст первой новости и превью-изображение к ней (кадр получился естественным, в репортажном стиле без графики и мультяшности).
Если этот блок вас устраивает, дайте знать, и я сразу пришлю вторую новость (про переход WooCommerce на HPOS) с отдельной превью-картинкой.
