Техника и безопасность · · 7 мин. чтения · Автор: Alexander
Plesk Site Import: CVE-2026-107246 – что делать?
По состоянию на 10.11.2026: уязвимость CVE-2026-107246 в Plesk Site Import может позволить выполнение стороннего программного кода с правами root, то есть с широкими правами на сервере хостинга. Затронуты версии расширения до 1.13.1 включительно. Plesk рекомендует обновиться до 1.13.2 или новее. Как можно скорее проверьте, установлен ли Site Import на сервере Вашего сайта и какая версия используется. Если Вы пользуетесь Shared Hosting, попросите своего хостинг-провайдера провести эту проверку.
Что произошло с Plesk Site Import?
Plesk предупреждает об уязвимости в расширении Site Import. Идентификаторы доменов и сессий проверяются недостаточно. Из-за этого возможна так называемая атака Path Traversal: внутренняя сессия с повышенными правами может быть перенаправлена в каталог, контролируемый злоумышленником. Согласно описанию CVE, это может привести к выполнению кода с правами root.
Эта уязвимость находится не в WordPress, Joomla, Shopware или TYPO3. Она затрагивает расширение Plesk на сервере хостинга. Если злоумышленники успешно получат контроль над этим сервером, размещённые на нём сайты могут быть косвенно затронуты. Plesk предупреждает о возможных последствиях для всех размещённых там Subscriptions, то есть абонементов хостинга. Поэтому уточнить ситуацию следует и владельцам сайтов, которые сами никогда не запускали импорт.
Насколько опасна CVE-2026-107246 на самом деле?
Оценка безопасности в официальной записи CVE: CVSS v4.0: 9,2 – критическая. Возможность выполнения кода с правами root требует оперативной проверки и обновления. Однако эта оценка не доказывает, что Ваш сервер был взломан.
В условиях, необходимых для атаки, остаётся неразрешённое расхождение: в описании указан пользователь Subscription без роли владельца, а Plesk говорит о пользователе без прав администратора. Одновременно вектор CVSS содержит PR:N. По стандарту оценки это в целом означает, что до атаки вход в систему не требуется. Это не равнозначно отсутствию прав администратора. Источники не устраняют это противоречие. Поэтому ни анонимный путь атаки, ни обязательность входа в систему не подтверждены в достаточной мере. Также остаётся неясным, какие конкретные условия атаки обозначает идентификатор AT:P.
По состоянию исследования на 10.11.2026 активная эксплуатация, наблюдавшиеся попытки атак и публичный PoC как техническое доказательство осуществимости не подтверждены. В проверенном каталоге CISA KEV по состоянию на 09.11.2026 этот идентификатор отсутствует; более поздние дополнения не исключены. Отсутствие таких подтверждений не означает, что опасность миновала, и не доказывает, что атак нет. Поэтому не откладывайте проверку версии до появления сообщения об атаке.
Какие версии затронуты и какое обновление поможет?
Затронут Site Import до версии 1.13.1 включительно. Согласно журналу изменений производителя, исправленная версия 1.13.2 вышла 04.11.2026. Рекомендация производителя была обновлена 09.11.2026; официальная запись CVE опубликована 10.11.2026. Plesk рекомендует 1.13.2 или новее. Эта граница версий означает устранение именно данной уязвимости и не является общей гарантией безопасности сервера.
Значение имеет версия расширения. Одно лишь обновление панели Plesk не подтверждает состояние обновлений расширения. В каталоге продуктов для Site Import 1.13.2 в качестве требования указан Plesk 18.0.60. Поэтому при проблемах с обновлением попросите администратора также проверить совместимость.
В проверенных сведениях производителя и CVE нет явного разграничения между Linux и Windows для этой CVE. В частности, из термина root нельзя делать подтверждённый вывод, что Windows не затронута.
Как проверить, затронут ли мой хостинг?
С учётной записью клиента Shared Hosting без прав администратора Вы не можете самостоятельно установить исправление для общесерверного расширения. Управление расширениями доступно только администраторам Plesk. Если у Вас нет такого доступа, отправьте хостинг-провайдеру приведённый ниже запрос. Даже включённые автоматические обновления не заменяют проверку фактически установленной версии.
Для администраторов в справочнике Plesk CLI для Linux документирована команда `plesk bin extension --list` для инвентаризации. Руководство по администрированию показывает при этом идентификаторы и названия, но не вывод версии. Прямо документированная команда CLI для проверки установленной версии Site Import в ходе исследования не найдена. Используйте для этого интерфейс администрирования:
- Войдите как администратор, откройте Extensions → My Extensions → Site Import и проверьте указанную версию.
- Если установлена версия до 1.13.1 включительно: откройте Extensions → Update/Updates, запустите поиск обновлений через Check Now, выберите Site Import и выполните Update.
- После этого снова откройте Extensions → My Extensions → Site Import. Проверьте, действительно ли установлена версия 1.13.2 или новее, и зафиксируйте версию и время проверки.
Что написать хостинг-провайдеру?
Отправьте этот запрос в службу поддержки хостинга и замените заполнители. Если с провайдером связывается специалист, обслуживающий Ваш сайт, попросите переслать Вам конкретный ответ оператора сервера.
Тема: Проверка Plesk Site Import / CVE-2026-107246. Здравствуйте, пожалуйста, проверьте сервер хостинга моих доменов [DOMAINS], номер клиента [NUMMER], в связи с CVE-2026-107246. Установлен и активирован ли Site Import? Какая версия расширения установлена сейчас? Пожалуйста, подтвердите фактическое состояние обновлений и время обновления до рекомендованной Plesk версии 1.13.2 или новее. Проверяли ли Вы сервер на подозрительную активность или возможную компрометацию? Какой период охватывает проверка и следует ли мне в связи с её результатами принять меры для моих сайтов или данных доступа? Если обновление ещё не выполнено, сообщите, пожалуйста, конкретную дату обновления и временные меры. Спасибо.
Запрос не предполагает, что взлом уже произошёл. Его цель — уточнить состояние, относящееся к Вашим доменам, и необходимость дальнейших мер. Если Вы получите общий ответ, переспросите о фактически установленной версии расширения.
Что делать, если обновление нельзя установить сразу?
Plesk называет обновление способом устранения проблемы. Официальная альтернативная мера в рекомендации не документирована. Попросите хостинг-провайдера выяснить, что мешает обновлению, и назвать конкретную дату.
Если расширение не требуется, администратор может рассмотреть его отключение или удаление как возможную меру снижения риска: Extensions → My Extensions → Site Import → Disable или Remove. Эти функции управления документированы. Однако их эффективность как полной замены исправления для CVE-2026-107246 не подтверждена. Поэтому не считайте это действие доказанным устранением уязвимости.
Попросите хостинг-провайдера конкретно описать временные меры. После обновления получите подтверждение фактически установленной версии расширения. Целью остаётся подтверждённая версия 1.13.2 или новее.
Частые вопросы о Plesk Site Import и CVE-2026-107246
WordPress и плагины обновлены — этого достаточно?
Нет. Эта уязвимость затрагивает расширение Plesk Site Import. Актуальные версии WordPress и плагинов не подтверждают состояние обновлений этого расширения. Дополнительно попросите хостинг-провайдера проверить версию расширения. Если сервер хостинга скомпрометирован, Ваш сайт на WordPress также может быть косвенно затронут.
Cloudflare — я в безопасности?
Имеющиеся результаты исследования не подтверждают, что Cloudflare защищает от этой конкретной уязвимости. Из них нельзя вывести гарантию защиты. Даже если Вы используете Cloudflare, запросите у оператора сервера подтверждение версии Site Import 1.13.2 или новее.
У меня статический сайт — это меня касается?
Статический сайт также может быть косвенно затронут, если его сервер хостинга будет скомпрометирован через Site Import. Определяющим фактором здесь является затронутое расширение на сервере. Проверьте факт его установки и версию, даже если Ваш сайт не использует CMS, например WordPress.
Как распознать взлом?
В проверенных публикациях не найдены официальные признаки взлома, относящиеся именно к этой CVE. На их основании нельзя провести надёжную самостоятельную проверку по определённым именам файлов или сигнатурам журналов. Попросите хостинг-провайдера проверить подозрительную активность, указать исследованный период и при необходимости сообщить, какие действия требуются для Ваших сайтов или данных доступа.
Нужен ли мне доступ администратора Plesk?
Для управления и обновления расширения на всём сервере требуются права администратора. Как клиент Shared Hosting без этих прав Вы не можете самостоятельно установить исправление. Получать для этого доступ администратора не нужно: поручите проверку хостинг-провайдеру и попросите подтвердить результат.
Site Import устанавливается автоматически?
Общая установка по умолчанию не подтверждена. Инструкция по импорту требует убедиться в наличии расширения до его использования. Также не доказано, что расширение устанавливается исключительно при фактическом использовании. Поэтому тот факт, что Вы никогда не выполняли импорт, не заменяет проверку наличия расширения.