CVE-2026-63030 в Debian: уязвимость REST API и SQL-инъекция с высоким уровнем критичности

CVE: CVE-2026-63030
Продукт: Debian
Дата публикации: 17.07.2026
Критичность: CRITICAL
CVSS: 9.8 (3.1)
EPSS: 98,42%; процентиль 99,91%
CISA KEV: да

Краткое описание​

Уязвимость CVE-2026-63030 в WordPress затрагивает версии 6.9.x ниже 6.9.5 и 7.0.x ниже 7.0.2. Она связана с путаницей маршрутов в REST API и может быть использована совместно с CVE-2026-60137 для выполнения SQL-инъекций и получения удалённого доступа. В системах Debian, где установлены пакеты WordPress, возможна эксплуатация уязвимости [1].

Основные характеристики​

CVE-2026-63030 описывает уязвимость в ядре WordPress, вызванную ошибкой в обработке маршрутов REST API. Эта проблема может быть использована совместно с CVE-2026-60137 для получения SQL-инъекций и удалённого выполнения кода. Уязвимость затрагивает версии WordPress 6.9.x до 6.9.5 и 7.0.x до 7.0.2. В Debian пакет wordpress в релизах Bullseye, Bookworm, Trixie и Forky может быть подверженной [2]. Согласно данным Debian Security Tracker, исправление доступно в новых версиях пакетов [2].

Какие продукты и версии затронуты​

В Debian уязвимость затрагивает следующие релизы и пакеты: WordPress 6.9.x до 6.9.5 и 7.0.x до 7.0.2. Конкретно, пакет wordpress в релизах Debian Bullseye, Bookworm, Trixie и Forky может содержать уязвимую версию. Для Debian 11 (Bullseye) и 12 (Bookworm) исправление доступно в версиях 5.7.14+dfsg1-0+deb11u1 и 6.1.9+dfsg1-0+deb12u1 соответственно. В Debian 13 (Trixie) исправление включено в версию 6.8.6+dfsg1-0+deb13u1. Для релизов Forky и Sid — в версиях 7.0.2+dfsg1-1 и 7.0.3+dfsg1-1 [2].

Причина уязвимости​

Основная причина — ошибка в обработке маршрутов REST API в WordPress, позволяющая злоумышленнику манипулировать SQL-запросами. Это приводит к возможности выполнения произвольных SQL-запросов. Уязвимость связана с CWE-436 — «Interpretation Conflict», указывающим на некорректное понимание данных в процессе обработки. В сочетании с CVE-2026-60137, она предоставляет возможность получения полного контроля над сервером [1].

Как работает атака​

Атака осуществляется через REST API, где происходит неправильная интерпретация параметров запроса. Злоумышленник может использовать этот механизм для отправки специально подготовленных данных, которые приводят к SQL-инъекции. После успешной инъекции можно получить доступ к базе данных и, при наличии прав, выполнить произвольный код на сервере. Механизм зависит от того, как система обрабатывает входящие данные и формирует SQL-запросы [1].

Условия успешной эксплуатации​

Для эксплуатации уязвимости требуется доступ к REST API WordPress, который обычно открыт для анонимных пользователей. Уязвимость активна в версиях WordPress 6.9.x ниже 6.9.5 и 7.0.x ниже 7.0.2. Система должна использовать версию WordPress, в которой реализовано повреждённое поведение REST API. В Debian, пакеты, соответствующие этим версиям, находятся в состоянии уязвимости [2].

Возможный сценарий атаки​

Сценарий атаки предполагает, что злоумышленник отправляет специально сконструированный запрос к REST API WordPress. В результате этого запроса система выполняет SQL-запрос, который может быть изменён для получения данных или выполнения произвольного кода. Такая атака возможна, если сервер не применяет корректные меры защиты от SQL-инъекций и не обновлён до безопасной версии [1].

Есть ли публичный эксплойт​

На момент анализа не подтверждено наличие публичного эксплойта или PoC для CVE-2026-63030. Однако, поскольку уязвимость имеет высокий уровень критичности (CVSS 9.8) и включена в каталог CISA KEV, возможно, эксплуатация может быть реализована в будущем. Отсутствие подтверждённого эксплойта не исключает потенциальной угрозы [3].

Признаки эксплуатации​

Признаки компрометации могут включать необычные запросы к REST API, аномалии в логах базы данных, несанкционированные изменения в системе. Однако конкретные индикаторы не указаны в доступных источниках. Рекомендуется проверять журналы веб-сервера и баз данных на подозрительную активность [3].

Как обнаружить атаку​

Обнаружение уязвимости возможно через проверку версии установленного пакета WordPress. Администраторы могут использовать команды dpkg-query или apt-cache policy для проверки установленных версий. Также рекомендуется анализировать логи веб-сервера и базы данных на наличие подозрительных SQL-запросов. Системы, где установлены версии WordPress ниже 6.9.5 или 7.0.2, считаются уязвимыми [2].

Как проверить свою версию​

Для проверки версии WordPress в системах Debian используются команды:

cat /etc/debian_version
apt-cache policy wordpress

или

dpkg-query -W -f='${Package} ${Version}\n' wordpress

Замените <имя-пакета> на wordpress. Если версия ниже 6.9.5 или 7.0.2, система уязвима [2].

Исправление​

Администраторы должны немедленно обновить пакет wordpress до версии, в которой устранена уязвимость. В Debian это означает установку пакета с версией 6.1.9+dfsg1-0+deb12u1 для Bookworm, 5.7.14+dfsg1-0+deb11u1 для Bullseye, 6.8.6+dfsg1-0+deb13u1 для Trixie, и 7.0.2+dfsg1-1 для Forky и Sid. Обновление должно быть выполнено через apt upgrade или apt full-upgrade. Проверка состояния обновления рекомендуется после применения [2].

Временные меры защиты​

В случае невозможности немедленного обновления, рекомендуется ограничить доступ к REST API WordPress через брандмауэр или Nginx. Также следует отключить необязательные функции REST API, если они не используются. Проверка и мониторинг логов базы данных и веб-сервера поможет выявить подозрительную активность. Эти меры не обеспечивают полной защиты, но могут снизить риск эксплуатации [3].

Как проверить устранение уязвимости​

После обновления необходимо проверить, что пакет wordpress имеет актуальную версию. Пример команды:

dpkg-query -W -f='${Package} ${Version}\n' wordpress

Если вывод показывает версию выше 6.9.5 или 7.0.2, уязвимость устранена. Также рекомендуется перезапустить сервисы, чтобы применить изменения. Проверка логов и мониторинг активности помогут подтвердить отсутствие аномалий [2].

Вывод​

CVE-2026-63030 представляет собой серьёзную угрозу для систем, где установлены уязвимые версии WordPress. В Debian, пакеты wordpress в релизах Bullseye, Bookworm, Trixie и Forky требуют немедленного обновления. Администраторы должны следовать рекомендациям по устранению уязвимости и применять меры безопасности до полного обновления. Проверка версий и мониторинг активности являются важными элементами защиты [2].

Официальные источники​

1. NVD — CVE-2026-63030
   
2. Debian Security Tracker — CVE-2026-63030
   
3. CISA Known Exploited Vulnerabilities Catalog
   
4. FIRST EPSS — CVE-2026-63030
   

История обновлений статьи​

• 07.08.2026 — Опубликована первая версия материала.
  
• 08.08.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.