Незнакомый человек заполняет контактную форму на вашем сайте. А потом вы открываете корзину WordPress - она пуста. Страницы, записи и комментарии, которые там лежали, удалены навсегда. Кнопки «отменить» в WordPress нет. Это подтвержденный эффект уязвимости Avada Builder. Человеку даже не нужен аккаунт или пароль.
Странный сценарий? Еще какой. Но если вы держали в корзине старые посадочные страницы или тексты «на всякий случай», новость неприятная: корзина - не архив. Разберемся, какие версии затронуты и что можно сделать сегодня.
Какие версии Avada затронуты?
Ошибка находится в Avada Builder - плагине ThemeFusion, который идет вместе с темой Avada. Его техническое имя - fusion-builder. Раньше плагин назывался Fusion Builder, так что старое название в списке плагинов тоже может вам встретиться.
- Уязвимы: Avada Builder 3.16.1 и более ранние версии, в том числе билдер в комплекте с Avada 7.16.1.
- Исправлено: в Avada Builder 3.16.2, который идет с Avada 7.16.2. Обновить нужно и тему, и плагин.
- Серьезность: CVE-2026-97670, оценка 9,1 по шкале CVSS - критическая уязвимость. Для атаки не нужен вход в админку.
Проблему нашла исследовательница Wordfence Chloe Chamberland. Patchstack добавил запись 9 октября 2026 года, а CVE опубликовали 10 октября 2026 года. На вашем сайте важнее всего версия именно плагина: откройте список плагинов и проверьте, что у Avada Builder стоит 3.16.2 или новее. Если непонятно, какая тема и какие плагины сейчас активны, сканер уязвимостей WordPress поможет их проверить.
Как отправка формы очищает корзину?
Разбираться в хуках WordPress тут не обязательно. Суть проще: текст из поля формы, который сайт должен был принять просто как текст посетителя, мог заставить WordPress запустить действие, выбранное этим посетителем.
- На сайте опубликована форма Avada с отправкой через AJAX. В письме-уведомлении есть подстановка полей формы. По умолчанию там используется
[all_fields], поэтому под условия может попасть и обычная форма без хитрых настроек. - Посетитель вводит в поле особый токен динамических данных, например
{action_hook,...}, и отправляет форму. - При обработке заявки и письма Avada Builder воспринимает токен как команду. Он может вызвать указанный в нем хук WordPress, причем несколько раз за один запрос.
- Проверка прав смотрит на
args, а данные отправленной формы, которые ей нужно проверить, лежат вformData. Проверяется не та часть запроса. - В подтвержденном примере один запрос без авторизации вызвал
wp_scheduled_delete- действие WordPress, которое окончательно удаляет записи, страницы и комментарии из корзины.
Никому не нужно нажимать подозрительную ссылку из письма. Уязвимый код срабатывает при отправке формы. А раз форма открыта всем, отправить ее может кто угодно.
Почему «это же только корзина» - плохое утешение
Владельцы сайтов часто используют корзину вместо архива. Туда отправляется прошлогодняя страница акции, черновик, который жалко выбросить, карточки товаров, снятых с продажи. Все лежит рядом со спам-комментариями. Потом, может быть, руки дойдут разобрать. А пока там остается работа, которую совсем не хочется делать заново.
После окончательного удаления WordPress не предложит вернуть эти страницы, записи и комментарии одной кнопкой. Бэкап может выручить, но только если в нем сохранились нужные данные и вы умеете его восстановить. Корзина точно не заменяет копию сайта. А если рассчитываете на резервные копии, почитайте, чем бэкап отличается от плана восстановления.
Очистка корзины - конкретный подтвержденный пример, а не предел возможностей бага. Другие хуки могут нарушить работу сайта, например wp_maybe_auto_update. Некоторые уязвимые сторонние плагины открывают путь и к записи данных с более высокими правами. Возможен также «слепой» доступ к метаданным, хотя результат уходит только на почту владельца сайта.
Patchstack пометил запись в своей базе как «Arbitrary Code Execution». Но ярлык и подтвержденное поведение - не одно и то же. Здесь описан вызов произвольных действий, а не загрузка чужого кода на сервер с последующим запуском. Пугать сильнее, чем есть на деле, смысла нет.
Что сделать сегодня: короткий список
Сначала проверьте версии. Если обновление придется отложить, займитесь формами, через которые может сработать ошибка.
- Обновите Avada и Avada Builder. Нужны Avada 7.16.2 и Avada Builder 3.16.2 или более новые версии. Avada обновляет плагины из своего комплекта через собственную панель или экран плагинов. Не думайте, что после обновления темы билдер тоже обновился, - проверьте его версию отдельно. Для работающего магазина лучше сперва сделать копию и выбрать время, когда заказов меньше. Если боитесь сломать сайт апдейтом, вот как обновляться без неприятных сюрпризов.
- Не можете обновить прямо сейчас? Отключите отправку через AJAX в формах Avada или снимите эти формы с публикации. Другой вариант - убрать подстановки полей, включая
[all_fields], из писем-уведомлений. Проверьте каждую опубликованную форму: настройки у них могут отличаться. - Сохраните нужное из корзины. Восстановите важные материалы сейчас или сделайте их копии. Потом проверьте, что бэкапы сайта хранятся не только на том же хостинге, и попробуйте восстановление. Если ни разу не проверяли, восстанавливается ли копия, это пока просто надежда.
- Посмотрите подозрительные заявки. Если сайт хранит отправленные формы или письма-уведомления, поищите в них неожиданные токены с фигурными скобками. Нашли такой? Повод разобраться. Сам по себе токен еще не доказывает, что корзину очистили.
Этой уязвимостью уже пользуются?
На момент публикации сведений об атаках подтвержденной активной эксплуатации нет, и этой CVE нет в списке CISA KEV. При этом Patchstack ожидает массовых атак. Значит, тянуть с исправлением не стоит. Но и говорить, будто ваш сайт уже взломали, только на основании новости тоже не надо.
Не забудьте про плагин в комплекте с темой
Премиальные темы обновляются не через wordpress.org, как обычные плагины. Тут легко посмотреть версию темы и пропустить билдер, который пришел вместе с ней. Вот с этой пары я бы и начал проверку. Если не хочется самому следить за такими обновлениями, есть обслуживание сайта на WordPress от 39€ в месяц - эту рутину можно передать специалистам.
Откройте список плагинов сегодня. Если напротив Avada Builder все еще стоит 3.16.1 или более ранняя версия, задача не закрыта - даже когда тема выглядит обновленной.