Критическая ошибка в плагине Burst Statistics для WordPress затронула сотни тысяч сайтов. Через неё атакующий может выдать себя за администратора и получить доступ к панели управления, а в худшем случае — создать новый админский аккаунт.

Проблема особенно опасна для тех, кто давно не обновлял плагины и следит за сайтом формально. Речь не о теоретическом риске: по данным Wordfence, атаки уже идут, а защитные системы за сутки заблокировали тысячи попыток эксплуатации.

История инцидента

Burst Statistics — плагин для аналитики с упором на приватность. Его ставят как более лёгкую замену тяжёлым счётчикам посещаемости, а в экосистеме WordPress у таких решений всегда одна и та же слабая точка — скорость установки и медленная дисциплина обновлений.

Уязвимость получила номер CVE-2026-8181. Она появилась в версии 3.4.0, вышедшей 23 апреля 2026 года, и сохранялась в следующем релизе 3.4.1. Исследователи Wordfence сообщили о проблеме 8 мая, а исправление вышло 12 мая в версии 3.4.2.

Сценарий атаки простой и неприятный. Если злоумышленник знает имя администратора, он может подменить этого пользователя в запросе к REST API и обратиться к защищённым функциям WordPress так, будто вошёл в систему сам.

Что пошло не так в защите

Корень проблемы — в неверной обработке результата функции аутентификации. Код плагина ошибочно трактовал некоторые ответы как успешный вход, хотя на деле это был отказ или пустое значение.

Именно здесь и возникла щель. Вместо проверки на реальную авторизацию плагин позволял подставить чужое имя пользователя и использовать любой пароль в заголовке Basic Authentication. Дальше WordPress принимал запрос как легитимный и открывал путь к административным операциям.

Такая ошибка редко остаётся без последствий. Админ-доступ в WordPress — это не только настройка темы и публикация постов. Это доступ к базе, к файлам сайта, к плагинам и к инструментам, через которые можно спрятать бэкдор, подменить страницу входа или перенаправлять посетителей на вредоносные ресурсы.

Похожая логика уже встречалась и в других инцидентах с веб-инфраструктурой: когда уязвимость даёт не просто сбой, а контроль над административной частью, у владельца сайта почти не остаётся времени на спокойную реакцию. Об этом же мы писали в разборе уязвимости cPanel, которую уже используют для кражи паролей и в статье про автономную проверку уязвимостей, когда атака развивается быстрее ручной реакции.

Есть и ещё одна проблема. Имена администраторов часто лежат на поверхности — в комментариях, в публикациях, в публичных API-запросах. Если имя удаётся угадать, защита не выдерживает даже без сложного подбора пароля.

Уроки для читателя

Главный вывод тут не только про WordPress и один плагин. Любая админская ошибка в популярном расширении может превратиться в массовый инцидент за часы, если обновления выходят медленно, а владельцы сайтов откладывают установку патчей.

Второй вывод — не стоит полагаться на «лёгкие» и «приватные» решения как на что-то автоматически безопасное. У плагина может быть хорошая репутация, но одна ошибка в обработке запросов обнуляет все обещания маркетинга.

Третий момент касается организационной гигиены. Если сайт администрирует один человек, имя учётки, старые плагины и отсутствие многофакторной защиты превращают сайт в лёгкую цель. Здесь работают базовые меры: обновления, контроль состава администраторов, резервные копии и ограничение лишних прав.

Для личной и рабочей переписки уместна та же логика: меньше доверия к чужой сети, меньше лишних сервисов и меньше слепых зон. Если вы часто подключаетесь из гостиниц, аэропортов и кафе, стоит заранее подумать о [дополнительной защите трафика в открытых сетях]https://freedome.space, а не надеяться на случай.

Практические выводы и чек-лист

Если у вас сайт на WordPress, не откладывайте базовую проверку. Здесь важны не сложные трюки, а дисциплина.

  • Обновите Burst Statistics до версии 3.4.2 или удалите плагин, если он не нужен.
  • Проверьте, кто имеет права администратора на сайте.
  • Смените пароли у всех учётных записей с расширенными правами.
  • Включите многофакторную защиту там, где это возможно.
  • Просмотрите логи входа и запросов к REST API на необычную активность.
  • Сделайте резервную копию сайта и базы перед любыми изменениями.
  • Удалите старые плагины и темы, которые давно не обновлялись.
  • Если сайт используют несколько сотрудников, разделите роли и не раздавайте права администратора без нужды.
  • Для работы из чужих сетей используйте [защиту канала связи для поездок]https://freedome.space, чтобы снизить риск перехвата данных в открытом Wi‑Fi.

Отдельно проверьте, не осталось ли в панели лишних ключей доступа и токенов. Чем меньше старых учётных данных живёт в системе, тем меньше шансов, что одна уязвимость превратится в полный захват сайта.

Поделиться: