CVE-2026-100382: неаутентифицированный RCE в расширении External Data для MediaWiki

В расширении External Data для MediaWiki нашли неаутентифицированную RCE-уязвимость с оценкой CVSS 10.0, затронуты все версии до 3.7. Уязвимость эксплуатируют автоматизированные боты: через день после раскрытия они внедряли веб-шеллы в каталог skins. ZoomEye насчитал 1128 активов с упоминанием External Data.

• CVSS v4 — 10.0, эксплойт публичный, PoC в задаче Phabricator T434961
• Атака идёт в три фазы: разведка API, POST-запросы с командой, загрузка веб-шелла
• Затронуты все версии External Data до 3.7 на любых сборках MediaWiki
• После патча нужно сменить пароли БД и ключи из LocalSettings.php и удалить шеллы