WordPress по-прежнему держит почти половину веба — и именно поэтому у него такая токсичная поверхность атаки.

WordPress по-прежнему держит почти половину веба — и именно поэтому у него такая токсичная поверхность атаки. Инсайд тут простой: в реальных инцидентах чаще подводит не ядро, а старый плагин или тема, которые «вроде бы уже никто не использует», но они всё ещё активны.

За 2024 год число уязвимостей в плагинах и темах выросло на 68%. Это не про редкие экзотические баги — это про массовые, воспроизводимые сценарии, которые хорошо автоматизируются. Один непропатченный модуль может перечеркнуть весь ваш аккуратный цикл обновлений.

Для таких проверок WPScan остаётся одним из самых практичных инструментов: он помогает быстро понять, что реально крутится на сайте, какие версии стоят и где есть риск. Но важнее самого сканера — процесс: инвентаризация расширений, контроль заброшенных компонентов, регулярная проверка на CVE и дисциплина обновлений 🔍

Если WordPress у вас в проде, вопрос уже не «есть ли уязвимости», а «как быстро вы их видите и закрываете».