Wordfence в исследовании от 2 ноября воспроизвела выполнение чужого кода на сервере WordPress без входа в аккаунт. Путь открыла штатная функция проверки ссылок на публикации, а ошибка находилась в серверной библиотеке сжатия Brotli. Обновление только WordPress её не устраняет.

Функция pingback проверяет, действительно ли чужая страница ссылается на запись сайта. Атакующий указывал свой адрес, WordPress запрашивал его и получал специально подготовленный сжатый ответ. При распаковке уязвимая Brotli повреждала память, позволяя выполнить код с правами процесса PHP. Для этого нужны доступная функция pingback, принимающая такие уведомления запись, разрешённый внешний запрос и уязвимый декодер.

В лаборатории атака работала на WordPress 7.1.3 с PHP 8.3.36; после замены только Brotli на исправленный пакет выполнение кода прекратилось. Тот же набор данных не дал выполнения кода на PHP 8.3.35, хотя в одной конфигурации вызвал сбой. Результат зависит от точной сборки и устройства памяти: универсального взлома произвольного WordPress-сервера исследователи не показали.

Это новый проверенный путь к уже известной CVE-2026-111497 после опытов с Node.js. Wordfence не нашла публично проверяемого подтверждения успешного взлома действующего сайта через WordPress этим способом. Исправлять здесь нужно библиотеку в серверной среде, которую обслуживает хостинг или администратор, с перезапуском использующих её процессов.