Если у вас стоит бесплатный Elementor Website Builder, проверьте его версию. В 4.3.0 и 4.3.1 админ мог открыть ссылку и, сам того не заметив, создать еще одного администратора - с логином и паролем, которые выбрал кто-то другой. Исправление вышло в 4.3.2. Это главное. Посмотрите номер версии, прежде чем возвращаться к письмам.
Patchstack оценил уязвимость как серьезную: CVSS 8,8. В отчете от 25 сентября 2026 года об атаках ничего не сказано, а по состоянию на 28 сентября публичных сообщений об активном использовании уязвимости не было. Хорошая новость. Но оставлять уязвимую версию из-за этого не стоит.
Что сломалось внутри Elementor?
Перед некоторыми действиями WordPress проверяет скрытый токен - nonce. Грубо говоря, это отметка: запрос пришел из вашей админки, а не с чужой страницы. Нет отметки - случайная ссылка не должна распоряжаться сайтом от вашего имени. Когда браузер вошедшего пользователя все-таки заставляют выполнить чужую команду, это называют CSRF.
В Elementor 4.3.0 появилась функция, которая отправляет данные об использовании редактора через REST API. Так редактор, приложения и плагины общаются с WordPress. Для своего адреса событий Elementor хотел пропускать проверку токена. Ошибка была в другом: код искал elementor/v1/events/ где угодно в адресе, даже после вопросительного знака. А дописать текст в этой части ссылки может кто угодно.
В итоге запрос к другой части WordPress мог содержать эту строку и пройти проверку. Elementor считал запрос уже подтвержденным; заодно обходилась проверка других защитных плагинов, которые опирались на тот же механизм. Причем WordPress может обработать обычную ссылку как отправку формы. Не нужен хитрый сайт или скрипт - хватит ссылки в письме, чате или комментарии. В 4.3.2 Elementor проверяет настоящий маршрут запроса. Текст после вопросительного знака больше не помогает.
Почему владельцу магазина хватит одного клика
Вы собираете заказы. Приходит письмо: с заказом #1047 проблема, срочно проверьте. Нажимаете ссылку - и дальше пакуете коробки. Знакомо? Адрес при этом может вести на ваш же домен и содержать /wp-json/. С виду вовсе не какой-то левый сайт.
Трюк работает, пока вы вошли в админку. Многие держат WordPress открытым неделями: в том же браузере почта, рядом галочка «Запомнить меня». Сложный пароль и двухфакторная защита все равно нужны. Но именно этот клик 2FA не остановит - пароль никто не подбирает и заново под вашим именем не входит. Используют сессию, которую вы уже открыли.
В примере исследователя после клика админа появлялась новая учетная запись администратора с выбранными атакующим логином и паролем. Он также показал доступ к настройкам сайта. А вы увидели бы страницу с непонятным текстом. Решили бы, что ссылка битая, и вернулись к заказам.
Что потом может сделать человек со своим админским доступом? Поставить плагин с бэкдором, поменять настройки оплаты, добавить код для кражи данных при оформлении заказа, скачать данные клиентов или закрыть вам вход. Это возможности админа, а не зафиксированные последствия этой уязвимости. Редактора или менеджера магазина тоже можно было подловить ссылкой, но действия ограничивались бы правами их учетной записи.
Ваш сайт под угрозой?
Затронуты только версии 4.3.0 и 4.3.1. Elementor выпустил 4.3.0 22 сентября 2026 года, 4.3.1 - 23 сентября, а исправленную 4.3.2 - 24 сентября. Уязвимые версии были актуальными совсем недолго. Но автообновление могло поставить вам 4.3.0, а потом сайт по какой-то причине перестал обновляться. Так что лучше взглянуть на цифры.
Проблемная функция - скрытый эксперимент Elementor. На экране экспериментов вы его не найдете, искать переключатель бесполезно. По умолчанию функция включена на сайтах, где Elementor впервые установили начиная с версии 3.32.0. Если на таком сайте стояла 4.3.0 или 4.3.1 и настройки не трогали, риск есть. Честно, копаться в истории первой установки дольше, чем проверить версию и обновиться.
В 4.2.x и более ранних версиях именно этой ошибки нет: функция появилась только в 4.3.0. Но старые версии тоже обновляйте - в них бывают другие уже исправленные проблемы. Платите за Pro? Все равно проверьте бесплатный плагин «Elementor», без него Pro не работает. Мы писали про другую уязвимость Elementor Pro, исправленную в Pro 4.2.2. Здесь речь именно о бесплатном плагине. И не ждите в списке изменений 4.3.2 ясного предупреждения: ближайшая к теме строка - расплывчатое «Improved code security enforcement in data handling».
Что проверить прямо сейчас
- Откройте Плагины > Установленные (Plugins > Installed Plugins) и найдите бесплатный «Elementor». Если видите 4.3.0 или 4.3.1, обновите до 4.3.2 или новее. По возможности сначала сделайте бэкап - обычно это несколько минут. Но не откладывайте исправление на несколько дней из-за бэкапа.
- Обновите страницу со списком плагинов и убедитесь, что номер версии поменялся. Нажатая кнопка еще не значит, что апдейт прошел. Боитесь, что поедет верстка магазина? После обновления пройдитесь по проверкам из инструкции по безопасному обновлению WordPress.
- Подумайте о ссылке «Включить автообновления» на этой странице. Да, автообновление могло поставить 4.3.0 22 сентября. Но оно же могло принести исправление двумя днями позже. Для небольшого сайта я бы оставил его включенным - при условии, что есть бэкапы и кто-то проверяет магазин после апдейтов.
- Зайдите в Пользователи > Все пользователи (Users > All Users) и выберите фильтр «Администратор». Пересчитайте аккаунты. Все имена и адреса знакомы, включая добавленные с 22 сентября? Журнал действий поможет выяснить, когда появился пользователь. Если журнала нет, в phpMyAdmin у хостинга посмотрите поле
user_registeredв таблицеwp_users. - Откройте Настройки > Общие (Settings > General). Адрес электронной почты администратора все еще ваш?
Нашли незнакомого админа?
Не спешите сразу удалять учетку. Сделайте скриншот, запишите логин, почту и ID пользователя. Посмотрите журнал действий или попросите у хостинга логи: когда появился аккаунт и что он делал? После этого удаляйте. WordPress спросит, куда деть созданные им материалы. Передайте их своей учетной записи и потом проверьте.
Смените пароли всех админов. Затем в профиле каждого нажмите «Выйти на всех других устройствах» (Log Out Everywhere Else). Проверьте плагины и темы - нет ли незнакомых? Запустите сканирование на малварь. Если чужой админ что-то установил, менял файлы или настройки оформления заказа и оплаты, простой уборкой не отделаться. Считайте сайт взломанным и обращайтесь за помощью с очисткой сайта.
Что делать со следующей странной ссылкой
Для работы в админке заведите отдельный профиль браузера и выходите из WordPress, когда закончили. Для повседневных задач, если выходит, используйте аккаунт с меньшими правами. Админский вход оставьте для действий, где он действительно нужен. Поможет и журнал действий - с датами проще разобраться, чем гадать по памяти.
Конструкторы страниц меняются быстро, и за апдейтами кто-то должен присматривать. Особенно когда исправление безопасности спрятано за строкой, из которой толком ничего не понятно. А пока начните с малого: посмотрите номер версии рядом с бесплатным Elementor.