Какво значи оценка CVSS 9.8 за Вашия WordPress сайт?

# ЕтикетиСигурностWordPress

Екипът на WPhost14 окт 202612 мин четене

Получавате известие за уязвимост в плъгин, който ползвате, и до името му пише „CVSS 9.8, критична“. Звучи тревожно и понякога наистина е спешно. Самата оценка обаче не казва дали Вашият сайт е засегнат и колко бързо трябва да действате.

Ще обясним откъде идва точно 9.8 и защо две бази могат да оценят една и съща уязвимост различно. След това ще можете сами да прецените дали да обновите днес, или при следващата поддръжка, и ще знаете къде да проверите.

Накратко

CVSS оценява колко тежка е уязвимостта по скала от 0 до 10, а от 9.0 нагоре тя е „критична“.
9.8 значи атака през интернет, без акаунт и без помощ от потребителя, с пълен контрол над сайта.
Оценката не казва дали плъгинът е на Вашия сайт, дали ползвате уязвимата функция, дали атаката иска вход и дали някой вече атакува.
Обновете днес, ако атаката не иска вход или уязвимостта вече се използва в атаки. Иначе обновете при следващата поддръжка, без да я отлагате.

Какво е CVSS и какво измерва оценката?

CVSS (Common Vulnerability Scoring System) е отворена система за описание и оценка на уязвимостите в софтуера. Поддържа я FIRST (Forum of Incident Response and Security Teams), американска организация с нестопанска цел. Оценката е от 0 до 10, а всеки диапазон има своя категория. Границите са едни и същи във версии 3.1 и 4.0 на стандарта.

Оценка	Категория
0.0	Няма (None)
от 0.1 до 3.9	Ниска (Low)
от 4.0 до 6.9	Средна (Medium)
от 7.0 до 8.9	Висока (High)
от 9.0 до 10.0	Критична (Critical)

В ръководството за CVSS 3.1 FIRST пише, че системата измерва колко тежка е уязвимостта и не бива да се използва сама за оценка на риска. Числото описва самата уязвимост. Дали нападателят ще стигне до уязвимия код на Вашия сайт, е отделен въпрос, и на него отговаря останалата част от ръководството.

Защо толкова много уязвимости в плъгините имат CVSS 9.8?

Оценката по CVSS 3.1 се изчислява от осем отговора, наречени метрики. В записа на уязвимостта те стоят съкратено, във вектор като CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Точно този вектор дава 9.8.

Метрика	Отговор	Какво значи
Attack Vector (AV)	Network	Атаката идва през интернет.
Attack Complexity (AC)	Low	Не са нужни особени условия.
Privileges Required (PR)	None	Нападателят няма нужда от акаунт в сайта.
User Interaction (UI)	None	Никой не трябва да кликне или да отвори нещо.
Scope (S)	Unchanged	Оценителят приема, че пробивът не излиза извън уязвимото приложение.
Confidentiality (C)	High	Нападателят може да види всички данни.
Integrity (I)	High	Може да промени всички данни и файлове.
Availability (A)	High	Може да спре сайта изцяло.

Така изглежда уязвимост, през която посетител без акаунт може да изпълни свой код на сървъра, например като качи PHP файл. Формулата е една и съща за всички, затова всяка уязвимост с такива отговори получава точно 9.8. С този вектор Wordfence оцени уязвимостта в Bricksforge и двете дупки в The Events Calendar, за които писахме наскоро.

По CVSS 3.1 над 9.8 се стига само с променен обхват (S:C), тоест ако атаката засяга и ресурси извън уязвимото приложение. Тогава същите отговори дават 10.0.

Изискването за вход намалява оценката. Ако за същата атака е нужен акаунт с ниски права, например абонат или клиент на магазина, оценката е 8.8, а с администраторски акаунт е 7.2. Двете стойности изчислихме с калкулатора на FIRST.

Защо една уязвимост има две различни оценки?

CVE номерата дават организации, наречени CNA (CVE Numbering Authority), които програмата CVE е упълномощила да публикуват записи в своята област. Сред тях са Wordfence, Patchstack и WPScan, които се занимават със сигурността на WordPress, и всяка поддържа своя база с уязвимости.

NVD, базата данни на американския институт по стандарти NIST, показва оценката на организацията, издала CVE номера, и посочва коя е тя. Преди NIST добавяше и собствена оценка, но от 15 април 2026 г. вече не го прави редовно, когато CNA е дала такава. Затова числото в NVD обикновено е на организацията, издала номера.

Така е и при Bricksforge. Wordfence е издал CVE-2026-85097 с оценка 9.8 и тя стои в NVD без отделна оценка от NIST. Patchstack показва 10.0. Двата вектора се различават само по обхвата. Wordfence е преценил, че пробивът остава в уязвимото приложение (S:U), а Patchstack, че излиза извън него (S:C). И двете оценки са в категорията „критична“.

Числото зависи и от версията на стандарта. Във версия 4.0, която FIRST публикува на 1 ноември 2023 г., метрика Scope няма, а въздействието върху уязвимата система и върху други системи се оценява поотделно. Там същата атака без вход получава 9.3, ако не засяга други системи. Затова сравнявайте само оценки по една и съща версия. Тя стои в началото на вектора, CVSS:3.1 или CVSS:4.0.

Засегнат ли е Вашият сайт?

Оценката е една и съща за всеки сайт с уязвимия плъгин. Дали уязвимостта засяга и Вашия, ще разберете от админа и от описанието ѝ.

Инсталиран ли е плъгинът и в каква версия? В Plugins > Installed Plugins проверете дали версията попада в засегнатите, например „до 3.1.8.9 включително“. Изключеният плъгин носи по-малък риск, но файловете му остават на сървъра. Документацията на WordPress съветва плъгин, който не ползвате, да се изтрие.
Ползвате ли уязвимата функция? Описанието често казва при какви условия работи атаката. И двата записа за The Events Calendar са с 9.8, но и в двата пише, че атаката изисква включени коментари на събитията. Ако не сте сигурни дали функцията се ползва, приемете, че се ползва, защото една настройка може да я включи.
Трябва ли вход и с каква роля? В заглавията на WPScan често пише Unauthenticated, тоест без вход, или например Authenticated (Subscriber+), тоест поне абонат. В магазин с WooCommerce изискването за абонат е слаба преграда. Ако клиентите могат да си направят акаунт, всеки посетител може да получи ролята Customer, която WooCommerce описва като подобна на абоната в WordPress. Същото важи, ако в Settings > General е отметнато Anyone can register. Тогава гледайте на уязвимост за абонати като на уязвимост без вход.

Използва ли се вече уязвимостта в атаки?

Това е най-важният въпрос и CVSS не отговаря на него. Отговор търсете на няколко места, а те невинаги са съгласни.

CISA, американската агенция за киберсигурност, поддържа каталога KEV (Known Exploited Vulnerabilities). В него влизат уязвимости с CVE номер, за които има надеждни доказателства за атаки и ясна поправка, например обновление. Ако плъгинът Ви е в него, обновете веднага. Липсата му обаче не е успокоение. Към 13 октомври 2026 г. в каталога има само три плъгина за WordPress, всичките добавени през 2021 г.

За плъгините следете бележките на Patchstack и Wordfence и съобщенията на самия производител. При Bricksforge Patchstack засече първата атака на 7 октомври и отбеляза уязвимостта като използвана в атаки. Към 13 октомври тя още не е в KEV.

Третият ориентир е EPSS, модел на FIRST, който всеки ден оценява вероятността уязвимост с CVE номер да бъде използвана в атаки през следващите 30 дни. Високата вероятност е причина да обновите веднага, но ниската не е гаранция. На 13 октомври EPSS за Bricksforge беше под 1%, макар атаките да бяха започнали шест дни по-рано. В ръководството си FIRST пише, че EPSS не знае дали уязвимостта вече е под атака и че потвърдените сведения за атаки са по-важни от числото.

Днес ли да обновите плъгина, или при следващата поддръжка?

Тръгнете от горния ред на таблицата и спрете на първия, който важи за Вас.

Какво установихте	Какво да направите
Има сведения за атаки от KEV, Patchstack, Wordfence или производителя	Обновете днес, каквато и да е оценката. Ако още няма поправка, изключете плъгина.
Атаката не иска вход или всеки може да си направи акаунт в сайта	Обновете днес. Ако още няма поправка, изключете плъгина или го заменете.
Нужен е акаунт, какъвто имат само Вашите хора, например редактор или администратор	Обновете при следващата поддръжка, без да я отлагате.
Уязвимата функция не се ползва на сайта	Обновете при следващата поддръжка. Една настройка може да включи функцията.
Плъгинът е изключен и не Ви трябва	Изтрийте го.

Къде да проверите уязвимостите на плъгин

Във всяка от тези бази можете да търсите по името на плъгина или по CVE номера.

Wordfence Intelligence е базата на Wordfence, с отделна страница за всяка уязвимост.
Patchstack Database показва до оценката CVSS и свой приоритет за обновяване, в който отчита и атаките.
WPScan подрежда уязвимостите по плъгини, а в заглавието често пише дали е нужен вход и с каква роля.
NVD показва записа по CVE номер, с вектора и с организацията, дала оценката.
Каталогът KEV на CISA се търси по CVE номер или по производител.

Ако хостингът Ви има WP Toolkit, уязвимите плъгини се виждат и направо в cPanel, както е описано в ръководството за WP Toolkit.

Ако плъгините на сайта са малко и следите известията, ще се справите и сами с таблицата по-горе. Ако не искате всяко известие да е Ваша грижа, при активна поддръжка поемаме наблюдението на уязвимостите. Всеки ден сверяваме плъгините, темата и WordPress на сайта Ви с базите данни за известни уязвимости (CVE) и ги обновяваме навреме, след тест в staging.

Чеклист

Проверих версията на плъгина от известието.
Изтрих плъгините, които са изключени и не ми трябват.
Проверих дали ползвам уязвимата функция и дали атаката иска вход.
Потърсих CVE номера в KEV и в бележките на Patchstack и Wordfence.
Направих бекъп и, ако мога, пробвах обновлението първо в staging.
Проверих сайта за следи, ако уязвимата версия е работила по време на атаки.

Често задавани въпроси

Какво е CVSS?

CVSS (Common Vulnerability Scoring System) е отворена система за оценка на уязвимостите в софтуера, собственост на организацията с нестопанска цел FIRST. Оценките са от 0 до 10, а 9.0 и повече е „Critical“, критична. Ръководството за CVSS 3.1 казва, че системата мери тежестта на уязвимостта и не бива да се използва сама за оценка на риска.

Какво означава оценка CVSS 9.8?

Оценка 9.8 по CVSS 3.1 означава атака през интернет без акаунт и без помощ от потребител, която дава пълен контрол над сайта. Това е профилът на уязвимост, при която посетител без акаунт може да изпълни код на сървъра, например като качи PHP файл. Формулата е фиксирана, така че всяка уязвимост със същите отговори на осемте показателя получава точно 9.8.

Защо толкова много уязвимости в плъгини са с оценка 9.8?

Защото много уязвимости в плъгини имат един и същ профил, атака през интернет без вход и без действие от потребителя, с пълен достъп до данните и файловете. Векторът CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H винаги дава 9.8. Ако атаката изисква акаунт с ниски права, например абонат или клиент на магазина, същата атака получава 8.8, а ако изисква администратор, 7.2.

Защо една уязвимост има различни оценки в различните бази?

Номерата в CVE се издават от организации (CNA) като Wordfence, Patchstack и WPScan, а всяка от тях води своя база и може да прецени показателите различно. При Bricksforge Wordfence даде 9.8, а Patchstack 10.0, като разликата е само в показателя Scope. CVSS 4.0 няма показател Scope и същата атака без вход там получава 9.3, затова сравнявайте оценки само от една версия, която пише в началото на вектора.

Засегнат ли е сайтът ми от уязвимост с оценка 9.8?

Оценката е еднаква за всеки сайт с плъгина и не казва дали Вашият е засегнат. Проверете в Plugins > Installed Plugins дали версията Ви е сред засегнатите, дали използвате уязвимата функция и дали атаката изисква вход и каква роля. Ако не сте сигурни дали дадена функция се използва, приемете, че се използва, защото една настройка може да я включи.

Опасна ли е уязвимост, която изисква акаунт на абонат, за магазин с WooCommerce?

Да, често колкото уязвимост без вход. Ако клиентите могат да си правят акаунти, всеки посетител може да получи ролята Customer, която WooCommerce описва като подобна на абонат в WordPress. Същото важи, ако в Settings > General е отметнато Anyone can register, и тогава приемайте уязвимост на ниво абонат за такава без вход.

Как да разбера дали една уязвимост вече се използва в атаки?

CVSS не отговаря на този въпрос. Каталогът KEV на американската агенция CISA изброява уязвимости с доказано използване в атаки, но отсъствието от него не успокоява, защото към 13 октомври 2026 г. в него има само три плъгина за WordPress. За плъгините следете бележките на Patchstack и Wordfence и съобщенията на производителя, а оценката EPSS на FIRST дава вероятност за атака в следващите 30 дни, която не знае за вече потвърдени атаки.

Да обновя ли плъгина днес или при следващата поддръжка?

Обновете днес, ако има съобщения за атаки от KEV, Patchstack, Wordfence или производителя, както и ако атаката не изисква вход или всеки може да си направи акаунт в сайта. Ако атаката изисква акаунт, който имат само Вашите хора, или уязвимата функция не се използва, обновете при следващата планирана поддръжка, без да я пропускате. Деактивиран плъгин, който не Ви трябва, изтрийте.

Източници