Wordfence заблокировала 440 000 атак на RCE в плагинах WordPress

Wordfence отразила более 440 000 попыток эксплуатации двух уязвимостей в плагинах WordPress. Критическая CVE-2026-14894 (9.8) в Super Forms позволяет выполнить код двумя неаутентифицированными запросами: один создаёт nonce, второй загружает PHP-вебшелл. Исправлено в Super Forms 6.3.314 и Elementor Pro 4.2.2.

• CVE-2026-14894 в Super Forms: RCE без аутентификации, оценка 9.8
• Цепочка из двух запросов: super_create_nonce выдаёт nonce, затем загрузка PHP-шелла
• CVE-2026-32475 в Elementor Pro обходится массивом с .php во втором элементе
• Патчи: Super Forms 6.3.314 и Elementor Pro 4.2.2