Прочитал у WordPress, что вышла экстренная версия 6.9.5, 7.0.2 и 6.8.6. Закрыты две уязвимости в ядре: одна — в REST API /wp-json/batch/v1, другая — SQL-инъекция в параметре author__not_in. Вместе они позволяют выполнить код от анонимного пользователя. Под угрозой — стоковые установки без плагинов. Атака работает без учётной записи, на любом сайте, где не обновлён ядро. Вендор даже ввёл принудительные автообновления — это редкость, значит, серьёзно.
Считаю, что главный риск — не в том, что кто-то взломает сайт, а в том, что это произойдёт массово и незаметно. Боты уже сканируют по /wp-json/batch/v1. Если сайт не обновлён — он в списке жертв. Обновление — не «сделать, чтобы было хорошо», а «не потерять сайт». Атака не требует никаких условий, кроме устаревшей версии. Это не про «на всякий случай» — это про «сейчас или завтра».