Практический справочник для бизнеса

Уязвимости сайта: как понять риск и защитить бизнес

Разбираем известные уязвимости простым языком: затронут ли ваш сайт, что обновить и какие признаки проверить. Если подключить BotProtection, автоматизированные запросы можно отфильтровать на уровне защиты до того, как они попадут на сайт. Это заметно снижает вероятность, что бот доберётся до уязвимого компонента и начнёт его проверять или атаковать, но не заменяет исправление уязвимой CMS, плагина или библиотеки.

Подключить защиту сайта Инструкции по платформам

Обновлено: 6 ноября 2026. Каждая статья проверяется по первоисточникам.

Разборы уязвимостей

Показаны 133–144 из 145

Практический разбор · Joomla

Уязвимости Joomla: как читать предупреждения и обновлять CMS

Руководство владельцу Joomla: как сверять затронутые ветки, версии исправлений и тип уязвимости с официальными объявлениями Security Centre.

Владельцам сайтов, администраторам Joomla и веб-студиям.

Читать разбор

CVE-2021-3156

CVE-2021-3156 (Baron Samedit): проверка sudo в Linux

Уязвимость переполнения буфера в sudo могла позволить локальному пользователю повысить привилегии. Проверяйте установленный пакет и исправление поставщика Linux-дистрибутива.

Администраторам Linux-серверов и разработчикам инфраструктуры.

Читать разбор

CVE-2025-3057

CVE-2025-3057: критическая XSS-уязвимость Drupal core и исправления

Проверьте Drupal core на CVE-2025-3057: отражённая XSS затрагивала отдельные диапазоны Drupal 8–11. В разборе указаны исправленные релизы, условия риска и действия для поддерживаемых и устаревших установок.

Владельцам и администраторам сайтов на Drupal, веб-студиям и администраторам российских виртуальных и выделенных серверов, где обновления CMS выполняются вручную или через Composer.

Читать разбор

CVE-2026-87902

CVE-2026-87902: RCE при выборе шаблона WordPress

Проверьте затронутые ветки WordPress 4.7–7.1 и конкретную версию: при определённых условиях серверной конфигурации обход выбора шаблона может привести к выполнению PHP-кода.

Администраторам WordPress, веб-студиям и владельцам сайтов на виртуальном или выделенном хостинге.

Читать разбор

CVE-2026-108099

Drupal Entity List CVE-2026-108099: критическая RCE и пути эксплуатации

Entity List до 3.0.10 содержит критическую RCE. Сам модуль не образует прямого пути эксплуатации, однако contributed-модули и собственный код могут открыть уязвимую функциональность; advisory указывает как минимум один путь без аутентификации.

Администраторам Drupal, разработчикам сайтов с Entity List и интеграциями.

Читать разбор

CVE-2026-108515

Drupal Link CVE-2026-108515: XSS в поле ссылок ядра

Drupal core Link module недостаточно очищает некоторые markup-сценарии. Проверьте версии ядра и обновите поддерживаемую ветку; advisory оценивает риск как moderately critical.

Владельцам Drupal-сайтов и разработчикам, использующим core Link field.

Читать разбор

CVE-2026-108514

Drupal Navigation CVE-2026-108514: XSS через атрибуты

Drupal Navigation module недостаточно очищал отдельные атрибуты. Для атаки нужны права на HTML с определёнными data-атрибутами либо administer menu; проверьте роли и версию core.

Администраторам Drupal с включённым Navigation и управляющим меню ролями.

Читать разбор

CVE-2026-96355

Drupal Webform CVE-2026-96355: условное выполнение кода

Webform подвержен RCE и другим воздействиям, если настроен custom multiple-value item format с submission-value tokens. Проверьте конфигурацию и ветку модуля.

Администраторам Drupal, использующим Webform и пользовательские форматы отображения ответов.

Читать разбор

CVE-2026-92226

Joomla CVE-2026-92226: ошибки ACL в Web Services

Joomla Web Services могла разрешать edit-действия над объектами, которые нельзя редактировать. Проверьте версии и закройте доступ обновлением.

Администраторам Joomla с включёнными Web Services/API и интеграциями.

Читать разбор

CVE-2026-92227

Joomla CVE-2026-92227: обход MFA через remember-me cookie

Joomla 4–6 затрагивалась ошибкой ранней выдачи remember-me cookie, позволявшей обойти MFA. Проверьте ветку CMS и обновитесь до исправленного релиза.

Администраторам Joomla, особенно сайтов с MFA и доступной авторизацией.

Читать разбор

CVE-2026-92231

Joomla CVE-2026-92231: XSS в InputFilter и HTML5-сущности

В Joomla InputFilter проверка javascript: не декодировала HTML5-сущности до фильтрации, что создавало XSS-вектор. Проверьте CMS и обновитесь.

Владельцам Joomla, обрабатывающей пользовательский HTML или атрибуты.

Читать разбор

CVE-2026-92232

Joomla CVE-2026-92232: обход InputFilter через пробелы в data URI

Joomla InputFilter мог пропускать HTML data URI из-за whitespace-символов. Проверьте затронутую версию CMS и установите исправление; простого наличия Joomla недостаточно для вывода о фактической эксплуатации.

Администраторам Joomla и владельцам сайтов на российском виртуальном или выделенном хостинге.

Читать разбор

Как пользоваться справочником

Сначала подтвердите стек и версии. Наличие WordPress, Linux или конкретной библиотеки само по себе не означает, что система уязвима.
Сверьте рекомендации с поставщиком. Дистрибутивы и хостинги могут выпускать backport-исправления, не меняя базовый номер версии.
Снизьте шанс автоматизированной атаки. BotProtection фильтрует подозрительные запросы до сайта, поэтому ботам сложнее добраться до уязвимого компонента. Это дополнительный слой защиты, а не исправление самой уязвимости.

Каждый разбор содержит ссылки на источники. Перед изменениями производственной системы проверяйте актуальные инструкции поставщика программного обеспечения.

Не дайте ботам добраться до уязвимого сайта

BotProtection фильтрует автоматизированные запросы до сайта. Так вероятность успешной атаки становится значительно ниже, пока вы устанавливаете обновления и устраняете саму уязвимость.

Смотреть аналитику бесплатно