Три уязвимости в ACF Extended, обновете до версия 0.9.2.8

Q: Как да проверя дали сайтът ми има форми на ACF Extended?

В Terminal на cPanel wp post list --post_type=acfe-form --post_status=any изброява формите на ACF Extended в базата и нищо не променя. В админа същите форми са в менюто ACF, в Forms. Внимание изискват Post action с Update post и User action с Update user, при които полето Target е вързано за поле от формата, а не за Current Post или Current User.

Q: Ще спре ли да работи формата ми след обновяване до ACF Extended 0.9.2.8?

Може. Във версия 0.9.2.8 шорткодът [acfe_form] приема само разрешени аргументи, а Template Tags в тях вече не са позволени. Ако форма спре да работи след обновяването, това може да е причината и поправката е работа за разработчика Ви.

# ЕтикетиСигурностWordPress

Екипът на WPhost27 окт 20269 мин четене

На 21 октомври 2026 г. WPScan оповести три уязвимости в плъгина ACF Extended и в платената му версия ACF Extended PRO. На 23 октомври те влязоха и в базата данни NVD (CVE-2026-94267, CVE-2026-94268 и CVE-2026-94262). Най-тежката е с оценка 9.0 по CVSS и при определени настройки позволява на посетител без акаунт да изпълни свой код на сървъра. Другите две са с оценка 8.1 и водят до превземане на потребителски акаунти, включително на администратора. Поправката е във версия 0.9.2.8, излязла на 19 октомври. Според wordpress.org безплатната версия има над 100 000 активни инсталации.

ACF Extended е добавка към Advanced Custom Fields (ACF), но е отделен плъгин, с друг автор и със своя номерация на версиите. Записите в CVE изброяват само ACF Extended и ACF Extended PRO, така че самият ACF не е засегнат от тези три уязвимости.

Какво позволяват трите уязвимости

CVE	CVSS	Какво позволява	Засегнати версии
CVE-2026-94267	9.0	Презаписване на публикации и изпълнение на код на сървъра	Всички преди 0.9.2.8
CVE-2026-94268	8.1	Превземане на акаунта на администратора	0.9.2.7
CVE-2026-94262	8.1	Превземане на всеки акаунт, който не е администратор	0.9.2.7

И трите са в модула Forms, с който ACF Extended показва форми на посетителите на сайта, например за редакция на профил или за изпращане на публикация. Нито една не изисква вход в сайта.

Първата уязвимост засяга формите, които обновяват публикация. Плъгинът не проверява дали посетителят има право на това, затова всеки може да презапише произволна публикация, включително записите, в които сайтът пази дефинициите на своите полета. Оттам според записа се стига до изпълнение на код на сървъра. Който изпълнява код на сървъра, контролира целия сайт заедно с базата данни, а в магазин това значи и данните на клиентите и поръчките.

Другите две засягат формите, които обновяват потребител. Във версия 0.9.2.7 авторът добави проверка, която пази акаунтите на администраторите. Записът за CVE-2026-94262 казва, че плъгинът проверява правата само когато акаунтът, който се променя, е на администратор. Така посетител може да смени данните за вход на всеки друг акаунт, например на редактор или на клиент на магазина, и да влезе с него. При CVE-2026-94268 и самата проверка се заобикаля, защото плъгинът определя кой акаунт се променя по един начин, когато проверява заявката, и по друг, когато я изпълнява. Така нападателят поема акаунта на администратора и влиза в сайта с него.

При какви условия работи атаката

По CVSS и трите уязвимости са с висока сложност на атаката, защото тя е възможна само ако сайтът публикува форма на ACF Extended с определени настройки. Какво значат тези оценки, е обяснено в ръководството за CVSS. Всеки запис описва своето условие.

При CVE-2026-94267 формата обновява публикация, а посетителят сам определя коя публикация се променя и какво съдържание получава.
При CVE-2026-94268 сайтът има две отделни форми, които обновяват потребители, и при двете посетителят сам посочва кой акаунт се променя.
При CVE-2026-94262 формата обновява потребител, а посетителят сам посочва кой акаунт се променя. По подразбиране формата променя само акаунта на влезлия потребител.

Сайт, който използва ACF Extended само в администрацията, за полета и типове публикации, и не показва форми на посетителите, по тези три записа не е изложен. Модулът Forms обаче е включен по подразбиране, а форма може да е направена от разработчика преди години и отдавна забравена.

Към 23 октомври CISA отбелязва в записите, че няма данни за атаки с тези уязвимости. WPScan ще публикува примерния код за атака (proof of concept) на 21 ноември 2026 г. След тази дата всеки, който иска, ще може да я повтори, затова обновете преди нея.

Засегнат ли е Вашият сайт?

Засегнат е, ако имате „Advanced Custom Fields: Extended“ или „Advanced Custom Fields: Extended PRO“ на версия, по-ниска от 0.9.2.8. Версията се вижда в Plugins > Installed Plugins. Не я бъркайте с версията на „Advanced Custom Fields“ или „Advanced Custom Fields PRO“, които са друг плъгин с друга номерация. В Terminal на cPanel командата по-долу показва и двата плъгина един до друг. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

Bash

# cPanel > Terminal, в папката на сайта
# Само чете. Показва версиите на ACF и ACF Extended.
wp plugin list --fields=name,title,status,version \
  --skip-plugins --skip-themes | grep -iE "acf|custom-fields"

Следващата команда изрежда формите на ACF Extended, записани в базата данни. Ако не изведе нито една, сайтът най-вероятно не показва такива форми.

Bash

# cPanel > Terminal, в папката на сайта
# Само чете. Изрежда формите на ACF Extended.
wp post list --post_type=acfe-form --post_status=any \
  --fields=ID,post_title,post_status

В администрацията същите форми са в менюто на ACF, под Forms. Отворете всяка и вижте действията ѝ. Внимание изискват действията Post action с Update post и User action с Update user, при които полето Target е свързано с поле от формата, а не с Current Post или Current User. Форма може да е записана и в кода на темата, затова при съмнение попитайте разработчика на сайта.

Какво да направите

Направете бекъп на файловете и базата данни, както е описано в ръководството за бекъп.
Обновете ACF Extended до 0.9.2.8 или по-нова версия от Plugins > Installed Plugins или от Dashboard > Updates. Версията PRO получава обновления само с активен лиценз, който се въвежда в администрацията на плъгина. Ако лицензът е изтекъл, обновлението няма да се появи, затова го проверете. Как да обновявате плъгините, без да счупите сайта, е описано в ръководството за обновяване на плъгини.
След обновлението проверете версията отново и отворете страниците с форми. Във версия 0.9.2.8 шорткодът [acfe_form] приема само разрешени параметри, а Template Tags в тях вече не се допускат. Ако някоя форма спре да работи, причината може да е тази. Поправката е за разработчика.
Ако сайтът има форми от описания вид и е работил с уязвима версия, проверете в Users дали няма непознати администратори и дали имейлът на Вашия акаунт не е сменен. При съмнение следвайте ръководството за хакнат сайт.
Ако не можете да обновите веднага, махнете от страниците формите, които обновяват публикации или потребители. Атаката изисква формата да е публикувана, така че без нея няма откъде да мине. Това е временна мярка и не замества обновлението.

Какво правим ние

При наблюдението на уязвимостите следим какво е инсталирано на сайта Ви и всеки ден го сверяваме с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал и обновяваме, като първо пробваме обновлението на копие в staging. Сайтът може да е хостнат където и да е. Ако искате да включим и Вашия сайт, пишете ни през формата за запитване.

Често задавани въпроси

Какви уязвимости има в ACF Extended?

Три уязвимости в ACF Extended и платеното издание ACF Extended PRO, CVE-2026-94267, CVE-2026-94268 и CVE-2026-94262, разкрити от WPScan на 21 октомври 2026 г. Най-сериозната е с оценка 9.0 по CVSS и при определено настроени сайтове позволява на посетител без акаунт да изпълни собствен код на сървъра. Другите две са с 8.1 и водят до превземане на потребителски акаунти, включително на администратора.

Коя версия на ACF Extended поправя уязвимостите?

ACF Extended 0.9.2.8, пусната на 19 октомври 2026 г. CVE-2026-94267 засяга всички версии преди 0.9.2.8, а CVE-2026-94268 и CVE-2026-94262 засягат версия 0.9.2.7.

Засегнат ли е самият плъгин Advanced Custom Fields?

Не. ACF Extended е добавка за Advanced Custom Fields (ACF), но е отделен плъгин с друг автор и своя номерация на версиите. Записите в CVE изброяват само ACF Extended и ACF Extended PRO, така че ACF не е засегнат от тези три уязвимости.

Засегнат ли е сайтът ми, ако ползвам ACF Extended само в админа?

Според трите записа сайт, който ползва ACF Extended само в админа за полета и типове публикации и не показва форми на посетителите, не е изложен. И трите уязвимости са в модула Forms, който показва форми на посетителите, например за редакция на профил или изпращане на публикация. Модулът Forms обаче е включен по подразбиране, а форма може да е направена от разработчик преди години и отдавна забравена.

Как да проверя дали сайтът ми има форми на ACF Extended?

В Terminal на cPanel wp post list --post_type=acfe-form --post_status=any изброява формите на ACF Extended в базата и нищо не променя. В админа същите форми са в менюто ACF, в Forms. Внимание изискват Post action с Update post и User action с Update user, при които полето Target е вързано за поле от формата, а не за Current Post или Current User.

Защо не виждам обновление за ACF Extended PRO?

ACF Extended PRO получава обновления само с активен лиценз, който се въвежда в панела на плъгина в админа. Ако лицензът е изтекъл, обновлението до 0.9.2.8 няма да се появи, затова го проверете.

Ще спре ли да работи формата ми след обновяване до ACF Extended 0.9.2.8?

Може. Във версия 0.9.2.8 шорткодът [acfe_form] приема само разрешени аргументи, а Template Tags в тях вече не са позволени. Ако форма спре да работи след обновяването, това може да е причината и поправката е работа за разработчика Ви.

До кога да обновя ACF Extended?

Преди 21 ноември 2026 г., когато WPScan публикува примерния код за атака и сайтовете със стара версия стават лесна мишена. Към 23 октомври CISA отбелязва в записите, че няма данни за атаки. Ако не можете да обновите веднага, махнете от страниците формите, които обновяват публикации или потребители, но това не замества обновяването.

Източници