Имя плагина	JetEngine
Тип уязвимости	Удаленное выполнение кода
Номер CVE	CVE-2026-28134
Срочность	Высокий
Дата публикации CVE	2026-02-28
Исходный URL-адрес	CVE-2026-28134

Срочно: CVE-2026-28134 — Удаленное выполнение кода в JetEngine (<= 3.7.2) — Что владельцам сайтов на WordPress нужно сделать сейчас

Уязвимость с высокой степенью серьезности удаленного выполнения кода (RCE), затрагивающая версии JetEngine до и включая 3.7.2, была публично раскрыта 26 февраля 2026 года (CVE‑2026‑28134). Дефект позволяет аутентифицированному пользователю с правами уровня Contributor внедрять ввод, который может привести к произвольному выполнению кода на сайте. Уязвимость имеет оценку 8.5 по CVSS и уже была классифицирована как критический риск для сайтов WordPress, использующих затронутые версии плагина.

Если вы используете JetEngine на любом публичном сайте, пожалуйста, немедленно прочитайте это уведомление и следуйте приведенным ниже рекомендациям. Мы написали это как практическое, экспертное руководство — а не как академическую статью — чтобы вы могли предпринять конкретные действия для защиты вашего бизнеса, ваших клиентов и вашей инфраструктуры.

Примечание: WP‑Firewall является автором этого уведомления. Мы предоставляем управляемый фаервол, WAF, услуги сканирования и смягчения вредоносного ПО — включая бесплатный план, который охватывает основную защиту. Подробности ниже.

Исполнительное резюме (для владельцев сайтов, которым нужно действовать немедленно)

Затронутый плагин: JetEngine (плагин, обычно используемый для пользовательских типов записей, списков, форм и динамического контента).
Уязвимые версии: <= 3.7.2
Исправленная версия: 3.8.1.2 (обновите немедленно)
CVE: CVE‑2026‑28134
Степень серьезности: Высокая — CVSS 8.5 — Удаленное выполнение кода (RCE)
Необходимые права: Contributor (аутентифицированный пользователь с низкими привилегиями)
Немедленные действия:
1. Если возможно, немедленно обновите JetEngine до версии 3.8.1.2 или более поздней.
2. Если вы не можете обновить немедленно, деактивируйте плагин и заблокируйте доступ через ваш WAF.
3. Проверьте учетные записи пользователей (удалите или пересмотрите пользователей уровня Contributor) и измените учетные данные.
4. Проведите сканирование на компрометацию и ищите индикаторы, перечисленные ниже.
5. Если вы обнаружите компрометацию, следуйте приведенным ниже рекомендациям по реагированию на инциденты.

Почему это так опасно

Уязвимости RCE позволяют злоумышленникам выполнять произвольный код на вашем веб-сервере. Даже когда первоначальный доступ требует аутентифицированной учетной записи с низкими привилегиями, риск значителен по нескольким причинам:

Многие сайты на WordPress принимают регистрации или позволяют действия уровня Contributor (авторы блогов, участники сообщества, тестировщики). Злоумышленник может создать или захватить такую учетную запись, а затем использовать уязвимость.
Как только выполнение кода достигнуто, злоумышленник может установить заднюю дверь, создать учетные записи администратора, изменить шаблоны для постоянного доступа, украсть данные, перейти на другие сайты на сервере или использовать ваш сервер для криптомайнинга и спама.
Автоматизированные инструменты эксплуатации могут значительно ускорить компрометацию — уязвимость такой серьезности обычно начинает широко сканироваться и эксплуатироваться в течение нескольких дней.

Говоря прямо: относитесь к этому как к критическому и устраняйте без задержек.

Что мы знаем об уязвимости (высокий уровень)

Публичные отчеты указывают:

Уязвимость является проблемой удаленного выполнения кода (RCE), классифицируемой как инъекция/обработка небезопасного ввода (OWASP A3 / класс инъекции).
Она затрагивает версии JetEngine <= 3.7.2 и была исправлена в 3.8.1.2.
Для эксплуатации требуется только уровень привилегий Участника — это относительно низкий порог на многих сайтах, которые принимают пользовательский контент.

Технические детали, которые позволили бы создать оружие эксплуатации, были ответственно раскрыты разработчику до публичного релиза. После публикации злоумышленники часто быстро адаптируют рабочий код эксплуатации. Самый безопасный курс — это немедленно установить патч и/или заблокировать векторы эксплуатации.

Немедленные, приоритетные шаги по смягчению (что делать сейчас)

Следуйте этим шагам в порядке — они упорядочены по влиянию и скорости.

Обновите JetEngine до 3.8.1.2 (рекомендуется, самый быстрый фикс)
- Войдите в админку WordPress.
- Перейдите в Плагины → Установленные плагины → обновите JetEngine до последней версии.
- Если у вас мультисайт или много сайтов, запланируйте массовые обновления сейчас.
Если вы не можете обновиться немедленно, деактивируйте плагин.
- Деактивация мгновенно убирает поверхность атаки. Вы можете восстановить функциональность после патча и проверки целостности.
Примените виртуальное патчирование через ваш WAF.
- Если вы используете WP‑Firewall или другой WAF, включите опубликованное правило смягчения для этой уязвимости или создайте временные правила для блокировки полезных нагрузок эксплуатации (примеры ниже).
- Виртуальное патчирование является временной мерой, пока вы обновляетесь.
Уменьшите привилегии на учетных записях сайта
- Проверьте всех пользователей с привилегиями Участника или выше.
- Удалите или временно понизьте уровень учетных записей, которые вы не распознаете или которые не нужны.
- Принудительно сбросьте пароли для учетных записей с повышенными привилегиями.
Заблокируйте административную область
- Применяйте строгие пароли, включите двухфакторную аутентификацию для редакторов и выше.
- Ограничьте доступ к /wp-admin и /wp-login.php по IP, где это возможно.
- Если ваша команда использует общие сети, используйте VPN или аналогичные средства контроля для административных задач.
Отключите редактирование файлов и установите безопасные разрешения файлов
- Добавлять define('DISALLOW_FILE_EDIT', true); для wp-config.php, чтобы предотвратить редактирование тем/плагинов через административный интерфейс.
- Убедитесь, что разрешения файлов ограничены (обычно 644 для файлов, 755 для папок; пользователь веб-сервера не должен владеть основными файлами, если это не необходимо).
Сделайте резервную копию перед тем, как что-либо еще изменить
- Создайте полную резервную копию (файлы + база данных) сейчас и сохраните ее вне сервера. Если вы найдете доказательства компрометации, эта резервная копия может быть полезна для судебной экспертизы и восстановления.
Проверьте на наличие вредоносного ПО и индикаторов компрометации (подробности ниже)

Индикаторы компрометации (IoCs) — на что обращать внимание

После RCE злоумышленники обычно оставляют артефакты. Ищите следующее:

Новые администраторы или подозрительные пользователи:
- Записи wp_users с подозрительными электронными адресами, странными именами отображения или недавно созданными аккаунтами.
- Используйте WP‑CLI для быстрого перечисления пользователей:
```
список пользователей wp --role=administrator --fields=ID,user_login,user_email,user_registered
```
Неожиданные PHP файлы в папках загрузок или тем/плагинов:
- Проверьте загрузки на наличие .php файлов:
```
найти wp-content/uploads -type f -name "*.php"
```
- Ищите общие шаблоны веб-оболочек:
```
grep -R --line-number -E "base64_decode|gzuncompress|eval\(|preg_replace\(.*/e" wp-content
```
Измененные файлы ядра, темы или плагинов:
- Сравните файлы с известной хорошей копией или используйте плагины WordPress Site Health / file integrity для перечисления измененных файлов.
- С помощью WP‑CLI:
```
проверка контрольных сумм ядра wp
```
Подозрительные запланированные задачи или задания cron:
- Проверьте wp_options на наличие записей cron и используйте:
```
список событий wp cron
```
Необычные исходящие сетевые соединения с веб-сервера или аномальное использование ЦП
- Проверьте список процессов сервера, сетевые соединения и исходящие соединения с известными вредоносными IP-адресами.
Странные записи в базе данных или неожиданный контент в записях/страницах
- Злоумышленники часто внедряют спам-контент или ссылки, которые ухудшают SEO.
Неизвестные файлы в корне веб-сайта или измененные правила .htaccess
- Ищите правила перенаправления, поддельные файлы карты сайта или строки base64.

Если вы найдете что-либо из вышеуказанного, рассматривайте сайт как возможно скомпрометированный и следуйте шагам реагирования на инциденты ниже.

Шаги по обнаружению и судебной экспертизе (если вы подозреваете компрометацию)

Если вы обнаружите подозрительную активность, сохраните доказательства и следуйте процессу, учитывающему судебную экспертизу:

Сделайте снимок текущего состояния сервера (файлы, база данных, журналы) и сохраните копии офлайн.
Включите подробное ведение журналов (веб-сервер, PHP, база данных) и храните журналы для анализа.
Определите начальный вектор доступа и объем изменений (какие файлы или строки БД были изменены).
Если злоумышленник добавил постоянную заднюю дверь, удалите ее и замените зараженные файлы чистыми копиями из репозиториев пакетов или резервных копий.
Смените все учетные данные: пользователи WP, пароли базы данных, FTP/SFTP, панель управления хостингом, ключи API.
Проверьте на наличие латерального перемещения — другие сайты на том же сервере или общие учетные данные, которые могут быть скомпрометированы.
Если у вас есть поставщик безопасности или управляемый сервис, привлеките их для полной очистки и анализа коренной причины.

Важный: Если у вас нет опыта в реагировании на инциденты или у вас высокоценный сайт (электронная коммерция, членство, большой трафик), привлеките профессиональную команду безопасности. Неправильная очистка может оставить постоянные задние двери.

Временно увеличьте лимиты скорости для конечных точек создания аккаунтов / входа и требуйте CAPTCHA для новых регистраций.

В качестве провайдера фаервола и безопасности WordPress, WP‑Firewall сосредоточен на многослойной защите:

Управляемый WAF и правила в реальном времени — мы быстро применяем виртуальные патчи, когда раскрываются уязвимости с высоким риском, чтобы заблокировать попытки эксплуатации.
Сканирование на наличие вредоносного ПО и обнаружение инфекций — наш сканер ищет известные шаблоны веб-оболочек, подозрительные изменения файлов и аномальные изменения в базе данных.
Укрепленные настройки по умолчанию — мы применяем общие лучшие практики (отключение редактирования файлов, рекомендация сильных прав доступа, поддержка 2FA).
Руководство по реагированию на инциденты и управляемые варианты очистки (для клиентов на премиум-планах).
Непрерывная настройка — мы отслеживаем телеметрию угроз и корректируем правила, чтобы уменьшить количество ложных срабатываний, максимизируя защиту.

Если вы полагаетесь на экосистемы плагинов и принимаете пользовательский ввод или регистрации, размещение WAF перед вашим сайтом и автоматическое сканирование на наличие вредоносного ПО значительно сокращает окно уязвимости между публичным раскрытием и патчингом.

Если ваш сайт уже скомпрометирован — контрольный список реагирования на инциденты

Переведите сайт в режим обслуживания или временно отключите его, чтобы остановить дальнейший ущерб.
Сохраните судебные улики: сделайте снимки файлов, базы данных и журналов.
Определите и удалите веб-оболочки, вредоносные PHP-файлы и несанкционированных администраторов.
Замените измененные файлы ядра, темы и плагинов на известные хорошие копии.
Сбросьте все пароли: пользователи WordPress (особенно администраторы), пароли пользователей базы данных, FTP/SFTP, панель управления хостингом.
Отмените и повторно выдать любые утекшие ключи API, токены OAuth и учетные данные, используемые в других местах.
Примените исправленный плагин (3.8.1.2) и все другие обновления.
Повторно просканируйте с помощью нескольких сканеров, чтобы подтвердить удаление вредоносного ПО/задних дверей.
Следите за повторными инфекциями в течение как минимум 30 дней.
Рассмотрите возможность полной перезагрузки из чистой резервной копии, если компрометация глубокая или вы не можете быть уверены, что удалили все задние двери.

Если вы не готовы сделать вышеуказанное безопасно, обратитесь за помощью к экспертам по реагированию на инциденты. Неправильная очистка может оставить скрытый доступ, который позволит повторный вход.

Практические шаги проверки — быстрые команды

Проверьте версию плагина через WP‑CLI:
```
wp плагин статус jet-engine --format=json
```

Список пользователей, созданных недавно:

wp пользователь список --role=contributor --field=user_login,user_email,user_registered | awk '$3 > "2026-01-01"'

Найдите PHP-файлы, добавленные в папку загрузок за последние 14 дней:
```
find wp-content/uploads -type f -name '*.php' -mtime -14 -print
```

Найдите подозрительные функции:

grep -R --line-number -E "(eval\(|base64_decode\(|gzinflate\(|gzuncompress\()" wp-content

Запустите их сейчас — они недорогие и могут быстро показать очевидные артефакты компрометации.

Сценарии атак и влияние на бизнес

Злоумышленник, использующий CVE‑2026‑28134, может:

Установить постоянную заднюю дверь (PHP веб-оболочка).
Создать административных пользователей и заблокировать вас.
Экстрагировать данные о платежах клиентов или личные данные.
Изменить веб-страницы или внедрить спам/SEO спам.
Использовать ресурсы вашего сервера для криптомайнинга, отправки спама или сканирования других активов.
Компрометировать другие сайты на общей инфраструктуре.

Влияние на бизнес включает время простоя, репутационные потери, штрафы за SEO, возможные юридические/регуляторные риски, если вовлечены данные клиентов, и затраты на очистку.

Контекст временной шкалы и раскрытия информации

Дата отчета исследователя: 25 июня 2025 года (первоначальное открытие сообщено конфиденциально исследователем безопасности).
Публичное раскрытие / список в базе данных: 26 февраля 2026 года.
Исправленный релиз: 3.8.1.2 (рекомендуется обновление сразу после выпуска).

Между раскрытием для разработчиков и публичным релизом были соблюдены процедуры ответственного раскрытия. Как только уязвимость становится публичной, злоумышленники часто автоматизируют эксплуатации — поэтому предполагайте, что попытки эксплуатации будут сделаны быстро.

Заключительная рекомендация специалиста

Если у вас установлен JetEngine, самым безопасным и быстрым решением будет обновление до версии 3.8.1.2. Если вы не можете обновить немедленно, удалите или деактивируйте плагин и примените виртуальное патчирование через ваш WAF. Проверьте учетные записи участников и измените учетные данные.

Полагаться исключительно на патчинг недостаточно; вам нужна операционная позиция: защита WAF, непрерывное сканирование, управление пользователями с наименьшими привилегиями, проверенные резервные копии и план реагирования на инциденты. Такой многослойный подход позволяет предотвратить превращение уязвимости в нарушение.

Начните защищать свой сайт WordPress — доступен бесплатный план

Начните защищать свой сайт бесплатно

Если вы хотите немедленно снизить свои риски, WP‑Firewall предлагает бесплатный базовый план, который обеспечивает основную защиту: управляемый брандмауэр, веб-приложение брандмауэр (WAF), автоматизированный сканер вредоносного ПО и смягчение рисков OWASP Top 10. Базовый план предоставляет вам немедленное виртуальное патчирование и блокировку попыток эксплуатации, пока вы обновляете плагины и проводите судебные проверки.

Зарегистрируйтесь на бесплатный план здесь:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Если вам нужно автоматическое удаление, управление черными/белыми списками, запланированные отчеты или виртуальное патчирование, адаптированное для крупных сред, наши стандартные и профессиональные планы добавляют эти возможности и управляемые услуги. Но базовый (бесплатный) уровень — это отличный немедленный шаг для каждого владельца сайта, который хочет защиту сегодня.

Полезные ресурсы и следующие шаги (резюме контрольный список)

Немедленно проверьте версию JetEngine; обновите до 3.8.1.2, если это возможно.
Если вы не можете обновить сейчас, деактивируйте плагин.
Примените правила WAF или включите виртуальное патчирование, чтобы заблокировать схемы эксплуатации.
Проверьте роли пользователей (удалите или отключите ненужных участников).
Создайте полную резервную копию (файлы + база данных) и сохраните ее вне сервера.
Проверьте наличие веб-оболочек и подозрительных файлов; следуйте контрольному списку IoC выше.
Смените учетные данные для администратора, базы данных, FTP и любых других открытых аккаунтов.
Мониторьте журналы и трафик на предмет необычных всплесков и исходящих соединений.
Если произошла компрометация, сохраните доказательства и привлеките реагирование на инциденты.

Если вам нужна помощь с обнаружением, виртуальным патчированием или более глубоким судебно-медицинским анализом, команда WP‑Firewall Security доступна — независимо от того, подписываетесь ли вы на бесплатный план для получения базовой защиты или на один из наших управляемых планов для получения быстрой помощи в смягчении последствий и очистке.

Берегите себя. Разница между уязвимостью и нарушением безопасности часто заключается в том, насколько быстро вы действуете.

Уведомление о угрозе удаленного выполнения кода JetEngine//Опубликовано 2026-02-28//CVE-2026-28134

Срочно: CVE-2026-28134 — Удаленное выполнение кода в JetEngine (<= 3.7.2) — Что владельцам сайтов на WordPress нужно сделать сейчас

Исполнительное резюме (для владельцев сайтов, которым нужно действовать немедленно)

Почему это так опасно

Что мы знаем об уязвимости (высокий уровень)

Немедленные, приоритетные шаги по смягчению (что делать сейчас)

Индикаторы компрометации (IoCs) — на что обращать внимание

Шаги по обнаружению и судебной экспертизе (если вы подозреваете компрометацию)

Рекомендуемые правила WAF / виртуального патчинга (примеры)

1) Блокировать подозрительные тела POST, содержащие PHP-код или длинные полезные нагрузки base64
(псевдоправило в стиле mod_security)

SecRule REQUEST_BODY "(<\?php|<\?=|eval\(|base64_decode\(|gzinflate\(|gzuncompress\()" "t:none,ctl:requestBodyProcessor=URLENCODED"
2) Блокировать прямой доступ к внутренним PHP-файлам плагина (если известно).

4) Block suspicious query string patterns and user agents
4) Блокировать подозрительные шаблоны строк запроса и пользовательские агенты.

SecRule REQUEST_URI|ARGS|REQUEST_HEADERS:User-Agent "(?:(sqlmap|curl|python-requests|nmap|nikto))" "deny,log,id:100002,msg:'Блокировать общие сканеры'"

Временно увеличьте лимиты скорости для конечных точек создания аккаунтов / входа и требуйте CAPTCHA для новых регистраций.

Рекомендации по закаливанию (долгосрочные)

Если ваш сайт уже скомпрометирован — контрольный список реагирования на инциденты

Практические шаги проверки — быстрые команды

Сценарии атак и влияние на бизнес

Контекст временной шкалы и раскрытия информации

Заключительная рекомендация специалиста

Начните защищать свой сайт WordPress — доступен бесплатный план

Начните защищать свой сайт бесплатно

Полезные ресурсы и следующие шаги (резюме контрольный список)

Получайте WP Security Weekly бесплатно 👋
Зарегистрируйтесь сейчас!!

Свяжитесь с нами, чтобы запланировать бесплатную консультацию по безопасности WordPress.

Уведомление о угрозе удаленного выполнения кода JetEngine//Опубликовано 2026-02-28//CVE-2026-28134

Срочно: CVE-2026-28134 — Удаленное выполнение кода в JetEngine (<= 3.7.2) — Что владельцам сайтов на WordPress нужно сделать сейчас

Исполнительное резюме (для владельцев сайтов, которым нужно действовать немедленно)

Почему это так опасно

Что мы знаем об уязвимости (высокий уровень)

Немедленные, приоритетные шаги по смягчению (что делать сейчас)

Индикаторы компрометации (IoCs) — на что обращать внимание

Шаги по обнаружению и судебной экспертизе (если вы подозреваете компрометацию)

Рекомендуемые правила WAF / виртуального патчинга (примеры)

1) Блокировать подозрительные тела POST, содержащие PHP-код или длинные полезные нагрузки base64 (псевдоправило в стиле mod_security)

SecRule REQUEST_BODY "(<\?php|<\?=|eval\(|base64_decode\(|gzinflate\(|gzuncompress\()" "t:none,ctl:requestBodyProcessor=URLENCODED" 2) Блокировать прямой доступ к внутренним PHP-файлам плагина (если известно).

4) Block suspicious query string patterns and user agents 4) Блокировать подозрительные шаблоны строк запроса и пользовательские агенты.

SecRule REQUEST_URI|ARGS|REQUEST_HEADERS:User-Agent "(?:(sqlmap|curl|python-requests|nmap|nikto))" "deny,log,id:100002,msg:'Блокировать общие сканеры'"

Временно увеличьте лимиты скорости для конечных точек создания аккаунтов / входа и требуйте CAPTCHA для новых регистраций.

Рекомендации по закаливанию (долгосрочные)

Если ваш сайт уже скомпрометирован — контрольный список реагирования на инциденты

Практические шаги проверки — быстрые команды

Сценарии атак и влияние на бизнес

Контекст временной шкалы и раскрытия информации

Заключительная рекомендация специалиста

Начните защищать свой сайт WordPress — доступен бесплатный план

Начните защищать свой сайт бесплатно

Полезные ресурсы и следующие шаги (резюме контрольный список)

Получайте WP Security Weekly бесплатно 👋Зарегистрируйтесь сейчас!!

Свяжитесь с нами, чтобы запланировать бесплатную консультацию по безопасности WordPress.

1) Блокировать подозрительные тела POST, содержащие PHP-код или длинные полезные нагрузки base64
(псевдоправило в стиле mod_security)

SecRule REQUEST_BODY "(<\?php|<\?=|eval\(|base64_decode\(|gzinflate\(|gzuncompress\()" "t:none,ctl:requestBodyProcessor=URLENCODED"
2) Блокировать прямой доступ к внутренним PHP-файлам плагина (если известно).

4) Block suspicious query string patterns and user agents
4) Блокировать подозрительные шаблоны строк запроса и пользовательские агенты.

Получайте WP Security Weekly бесплатно 👋
Зарегистрируйтесь сейчас!!