Посетитель пишет вашему чат-боту. Позже вы открываете панель WordPress - и текст посетителя превращается в код, который запускается в вашем браузере. Именно такой сценарий стоит за уязвимостью AI Engine, о которой сообщили в октябре. Безопасность WordPress с ИИ тут не сводится к привычному «обновите плагины»: важно понять, куда попадают сообщения из чата.
У Jotform AI Chatbot другая уязвимость, и официального исправления для нее пока нет. Если один из этих плагинов стоит у вас, сегодня есть что проверить.
Что произошло с AI Engine
У AI Engine - The Chatbot, AI Framework & MCP for WordPress от Jordy Meow более 90 000 активных установок. Его slug - ai-engine. Wordfence опубликовал CVE-2026-96561 1 октября 2026 года с оценкой 7,2 - высокий риск. Затронуты версии вплоть до 3.8.0 включительно, исправление вышло в 3.8.1. Чтобы запустить цепочку, аккаунт на сайте не требовался.
Как публичный чат довел до панели администратора:
- Отправить сообщение. К
/mwai-ui/v1/chats/submitмог обратиться кто угодно. Плагин запрещал посетителю задаватьmodel, ноmodel_проходил фильтр. Позже плагин снова превращал его вmodel. - Подсунуть текст в журнал ошибок. Некорректное значение вызывало ошибку. Плагин записывал текст как есть в журнал ошибок PHP - так атакующий мог подделать строки журнала.
- Дождаться, пока их прочитает Advisor. Советник AI Engine отправлял недавние ошибки PHP ИИ-модели за советом. Поддельные строки попадали в запрос к модели. Это косвенная инъекция промпта: чужой текст приходит через источник, который ИИ должен был прочитать.
- Дождаться администратора. Ответ модели сохранялся и показывался в виджете Advisor без экранирования. Когда администратор открывал панель, вредоносный JavaScript мог запуститься в его браузере - с его активной сессией.
Последний шаг особенно неприятный. Скрипт в сессии администратора может делать то, что разрешено самому администратору: например, создавать учетные записи или добавлять бэкдор. В отдельной статье про бэкдоры в Ninja Forms и WPC Product Bundles разобрана кампания с поддельным плагином и скрытыми администраторами. Это не доказательство эксплуатации бага AI Engine - публичных сообщений о таких атаках нет.
AI Engine 3.8.4 вышел 8 октября 2026 года. Исправление описанной цепочки есть уже в 3.8.1, но я бы поставил 3.8.4. В списке изменений еще два исправления безопасности: шорткод чат-бота может менять промпт, модель или API-ключ, только если автор записи вправе редактировать чужие записи; доступ к поисковому эндпоинту на экране настроек Search ограничен администраторами.
Jotform AI Chatbot: исправления пока нет
У Jotform - AI Chatbot, slug jotform-ai-chatbot, более 5 000 активных установок. Patchstack опубликовал CVE-2026-40803 6 октября 2026 года. Это межсайтовый скриптинг с оценкой 7,1: затронуты версии вплоть до 3.8.2 включительно. Атакующему не нужен аккаунт, но пользователь, вошедший на сайт, например администратор, должен нажать специально подготовленную ссылку или открыть такую страницу.
По состоянию на 11 октября 2026 года Patchstack не указывает официального исправления. Версия 3.8.2 от 24 сентября 2026 года - самая новая. Обновление до нее проблему не решит. Не путайте дату последнего апдейта с датой устранения уязвимости: плагин может выглядеть свежим в списке, но все еще оставаться уязвимым.
Я бы отключил и удалил плагин до выхода исправленной версии. Перед удалением запишите нужные настройки и проверьте, что будет вместо чата на странице. На это уйдет минут десять; для магазина, где через чат спрашивают о доставке, можно временно оставить обычную форму связи. И не открывайте странные ссылки на собственный сайт, пока вы вошли как администратор. Знакомый домен в адресе еще ничего не гарантирует.
Почему безопасность WordPress с ИИ требует отдельного внимания
ИИ-плагины читают переписку в чате, журналы ошибок, отзывы о товарах, заявки из форм или страницы, собранные с других сайтов. Потом отправляют все это модели и показывают ответ в виджете панели либо в записи. Получается дорожка от текста посетителя до места, которому вы привыкли доверять. Если модель переписала текст своими словами, безопаснее он не стал. Ее ответ тоже надо считать недоверенным содержимым.
Такие плагины могут хранить API-ключи, открывать REST-эндпоинты и MCP-инструменты, через которые ИИ-помощник действует на сайте. В списке изменений AI Engine 3.8.4 сказано, что опции MCP Plugins and Themes могут читать и редактировать файлы. Включили такой доступ - считайте подключение еще одним аккаунтом администратора. Кто им пользуется? Какие файлы может менять? Небольшому магазину право ИИ править файлы обычно ни к чему.
Инъекцию промпта не убрать просьбой к модели «вести себя хорошо». Плагин должен ограничивать доступ к данным и действиям, а результат работы модели обрабатывать безопасно. Если непонятно, куда ваш чат-бот может добраться, ИИ-анализ безопасности WordPress поможет это выяснить. Для начала хотя бы проверьте доступ к логам и файлам - это займет минут десять.
Что проверить у каждого ИИ-плагина
Откройте список плагинов и пройдитесь по всем ИИ-функциям, включая старые эксперименты. Читать код на этом этапе не нужно:
- Что плагин читает? Посмотрите доступ к чатам, логам, заказам, записям, отзывам и заявкам. Где среди них есть текст посетителей? Отзыв о товаре тоже может содержать чужую инструкцию для модели, хотя выглядит как обычный комментарий покупателя.
- Куда он пишет? Ответ появляется в панели или публикуется на сайте? Кто проверяет его до публикации? Если никто - временно выключите автопубликацию и проверьте пару последних записей.
- Есть ли MCP-инструменты или REST-эндпоинты? Узнайте, кто ими пользуется и что они умеют. Лишнее выключите. Особенно доступ к файлам: просто отвечать на вопросы о товарах и менять код сайта - совсем разные задачи.
- Кто управляет API-ключами? Проверьте, где они хранятся, кто может их менять и можно ли ограничить расходы у поставщика API. Лимит поможет избежать неприятного счета, если ключ утечет.
- Быстро ли выходят обновления? AI Engine получает исправления безопасности довольно часто. Сверьте версию и решите, кто поставит следующий апдейт. Если задача постоянно откладывается, обслуживание WordPress вручную можно поручить специалисту.
- Вы вообще этим пользуетесь? Тест чат-бота закончился полгода назад? Удалите плагин, не оставляйте забытый вход на сайт. Сначала убедитесь, что удаление не сломает страницу, где стоял виджет.
Что сделать сегодня
Проверьте, установлены ли ai-engine и jotform-ai-chatbot, даже если они выключены. Обновите AI Engine до 3.8.4. Jotform AI Chatbot отключите и удалите до появления исправленной версии. Заодно загляните в старые плагины и «временные» страницы: почему их опасно оставлять, разбираем в отдельной статье.
Потом откройте раздел пользователей WordPress и проверьте администраторов. Незнакомое имя или почта? Сначала разберитесь, откуда взялся аккаунт и что он успел изменить, не удаляйте его вслепую. В конце посмотрите включенные ИИ-функции. Вдруг там до сих пор работает чат-бот, который вы собирались выключить еще весной. На сверку списка плагинов и администраторов уйдет минут пятнадцать - начните с нее.