В All in One SEO нашли две уязвимости: нужно обновить плагин

13 октября 2026 года издание Search Engine Journal сообщило о двух уязвимостях в плагине All in One SEO (AIOSEO) для WordPress. Обе получили средний уровень опасности, но главное в них другое: для атаки не требуется авторизация на сайте. То есть злоумышленнику не нужны ни украденный пароль администратора, ни даже учётка подписчика — достаточно самого факта, что на сайте стоит уязвимая версия плагина. По оценке издания, эксплуатация брешей позволяет скомпрометировать затронутые сайты.

AIOSEO — один из самых массовых SEO-плагинов в экосистеме WordPress, и именно в этом корень проблемы. Он стоит на большинстве проектов, которые вообще занимаются поисковым продвижением: корпоративных сайтах, блогах, интернет-магазинах. Для бизнеса риск не абстрактный. Через скомпрометированный сайт обычно делают три вещи: вшивают спам-ссылки и редиректы на сторонние ресурсы, подменяют мета-теги и title, заливают дорвей-страницы. Все три сценария бьют по тому, за что вы платите в SEO: позиции падают, Яндекс и Google могут наложить фильтр за вредоносный код или накрутку, а в выдаче рядом с доменом появляется предупреждение браузера. Восстановление репутации домена после такого занимает месяцы — несопоставимо с временем, которое уходит на обновление плагина.

Что делать прямо сейчас. Зайдите в админку WordPress, откройте раздел плагинов и обновите All in One SEO до последней доступной версии — разработчик уже выпустил исправления. Если на проекте отключены автообновления, включите их хотя бы для плагинов, связанных с безопасностью и SEO. Дальше — короткая проверка: посмотрите список пользователей с правами администратора (не появилось ли лишних), проверьте файл robots.txt и карту сайта на незнакомые разделы, прогоните сайт через Яндекс Вебмастер и Google Search Console на предмет предупреждений о вредоносном ПО. Если сайтов несколько, начните с тех, где есть оплата или сбор персональных данных. И на будущее: заведите привычку раз в месяц просматривать версии установленных плагинов — большинство взломов WordPress происходит не через хитрые атаки, а через расширения, которые никто не обновлял год.

Источник: Search Engine Journal.