На 12 септември 2026 бяха публикувани два записа в CVE за плъгина The Events Calendar, който има 600 000 и повече активни инсталации. И двата описват как човек без акаунт в сайта може да изпълни код на сървъра. Wordfence, който е издал записите, ги оценява с 9.8 по CVSS. CVE-2026-78006 засяга всички версии до 6.17.4 включително, а CVE-2026-78159 засяга версиите до 6.17.3 включително. Версия 6.17.4.1, пусната на 10 септември, е първата, която не е засегната.
Засягат ли Ви дупките в The Events Calendar?
Отворете Plugins > Installed Plugins и вижте версията до The Events Calendar. Ако е 6.17.4 или по-ниска, плъгинът попада под поне един от двата записа. От версия 6.17.4.1 нагоре не попада под нито един.
И при двата записа атаката минава през коментарите. Според тях специално подготвен коментар достига до кода, който обработва блоковете на страницата на събитието. CVE-2026-78006 изисква коментарите да са включени и видими на събитията. Не е нужно коментарът да е одобрен, защото вредният код се задейства още преди модерацията. CVE-2026-78159 изисква коментарите да са включени за събитията и да е подаден поне един коментар със специално подготвен блок wp:legacy-widget.
Отворете страница на събитие в сайта си. Ако под нея има коментари или форма за коментар, описаното условие важи и за Вашия сайт. Ако няма, условието не е изпълнено, но все пак обновете плъгина, защото коментарите се включват с една настройка.
Какво да направите
- Обновете The Events Calendar до 6.17.4.1 от
Plugins > Installed Pluginsили от WP Toolkit в cPanel. След това проверете версията още веднъж. - Ако не можете да обновите веднага, изключете коментарите на събитията, докато го направите. И при двата записа атаката изисква включени коментари.
- Потърсете в
Commentsтекстаwp:legacy-widgetв изгледите All, Pending и Spam. CVE-2026-78159 изисква такъв коментар, затова той е следа от опит за атака. Ако няма такъв коментар, това не доказва, че опити не е имало. Ако откриете коментар с този текст, пишете на поддръжката на хостинга си.
Ако автоматичните обновления на плъгините са включени, сайтът Ви може вече да е получил 6.17.4.1, защото версията излезе два дни преди записите да станат публични. Все пак проверете.
Какво правим ние
Ако не искате да следите лично такива съобщения, при наблюдението на уязвимостите сверяваме плъгините, темите и WordPress на Вашия сайт с базите данни с уязвимости и Ви казваме какво да обновите, преди някой да се възползва от слабото място. Сайтът може да е хостнат където и да е. Ако искате да включим и Вашия сайт, пишете ни през формата за запитване.
Често задавани въпроси
Какво представляват CVE-2026-78006 и CVE-2026-78159?
Две уязвимости в плъгина The Events Calendar, публикувани на 12 септември 2026 г. И двете позволяват на човек без акаунт в сайта да изпълни код на сървъра, а Wordfence ги оценява с 9.8 по CVSS. CVE-2026-78006 засяга всички версии до 6.17.4 включително, CVE-2026-78159 засяга версиите до 6.17.3.
Коя версия на The Events Calendar поправя уязвимостите?
The Events Calendar 6.17.4.1, пусната на 10 септември 2026 г. Това е първата версия извън обхвата и на двата записа. Версия 6.17.4 не стига, защото все още е засегната от CVE-2026-78006.
Как да проверя версията на The Events Calendar?
В админа на WordPress отворете Plugins > Installed Plugins и вижте версията до The Events Calendar. Ако е 6.17.4 или по-ниска, плъгинът попада под поне една от двете уязвимости.
Засегнат ли е сайтът, ако събитията нямат коментари?
Атаката по двете уязвимости в The Events Calendar минава през специално подготвен коментар, затова и двата записа изискват коментарите на събитията да са включени. Ако под страниците на събитията няма коментари или форма за коментар, условието не е изпълнено. Обновете плъгина въпреки това, защото коментарите се включват с една настройка.
Пази ли ме ръчното одобряване на коментарите?
Не. При CVE-2026-78006 в The Events Calendar коментарът не трябва да бъде одобрен, защото вредният код се изпълнява преди модерацията. Стига коментарът да е изпратен.
Какво да направя, ако не мога да обновя плъгина веднага?
Изключете коментарите на събитията в The Events Calendar, докато обновите до 6.17.4.1. И двата записа в CVE изискват коментарите да са включени. Щом обновите, проверете версията още веднъж.
Как да разбера дали някой е опитвал атаката на сайта ми?
Потърсете в Comments текста wp:legacy-widget в изгледите All, Pending и Spam. CVE-2026-78159 изисква коментар с такъв блок, така че намереният коментар е следа от опит за атака. Ако няма такъв коментар, това не доказва, че опити не е имало. Ако откриете, пишете на поддръжката на хостинга си.
Обновил ли се е плъгинът сам, ако автоматичните обновления са включени?
Възможно е. The Events Calendar 6.17.4.1 излезе на 10 септември 2026 г., два дни преди уязвимостите да станат публични, така че сайт с включени автоматични обновления може вече да я има. Проверете версията в Plugins > Installed Plugins въпреки това.