Уязвимост за отдалечено изпълнение на код (RCE) в WordPress стана обект на атаки само няколко часа след като на 28 октомври 2026 г. беше пусната версия 7.1.4, която отстранява 22 уязвимости, включително пропуск за изпълнение на код без удостоверяване в процеса на обновяване. Собствениците на уебсайтове трябва да проверят дали корекцията за сигурност е инсталирана.
Според предоставения доклад за заплахи на Wordfence, тяхната защитна стена е регистрирала над 18 500 заявки, насочени към временни пътища на инсталатора през първите 21 часа от наблюдението. Тези заявки показват опити за активна експлоатация, но докладът не установява колко уебсайта, ако изобщо има такива, са били успешно компрометирани.
Уязвимостта засяга версии на ядрото на WordPress (WordPress Core) от 4.7 до 7.1.3 и има оценка за сериозност по CVSS от 8.1, според предоставения доклад. Изследователят Umut Bayram е докладвал за слабостта в процеса на обновяване, която WordPress потвърди в своето съобщение за изданието за сигурност.
По време на обновяване с помощта на пълен пакет на WordPress, засегнатите инсталации разопаковат файлове в предвидима папка под wp-content/upgrade. Това временно копие включва инсталационни файлове. Ако сървърът позволява публичен достъп и изпълнение на PHP на това място, атакуващият може да достигне до подготвения инсталатор, преди WordPress да го премахне.
Уязвимостта за отдалечено изпълнение на код в WordPress е експлоатирана часове след корекцията за сигурност
Успешната експлоатация зависи от прецизното уцелване на момента. При лабораторните тестове на Wordfence временната папка е оставала достъпна само за секунди. Атакуващите трябва да открият правилния път и да изпълнят необходимите стъпки, преди изчистването да приключи. Повтарящите се заявки увеличават шансовете им да уловят този кратък прозорец.
По-ранното отразяване на сигурността на WordPress 7.1.4 от Cybersecuritynews.com също обяснява защо разархивираният инсталатор изисква специално внимание от страна на защитниците на сайтове.
От Wordfence заявиха, че са въвели правило за защитната стена в 20:30 UTC на 28 октомври, приблизително три часа след обявяването на изданието. Първата съвпадаща заявка се е появила девет минути по-късно.
Два основни източника многократно са проверявали малки групи от уебсайтове в продължение на около 14,5 часа. Други източници са изпробвали различни временни папки и имена на версии. Този модел отговаря на опитите за улавяне на прозореца за обновяване, въпреки че не всяка заявка е съответствала на валиден уязвим път.
Пропускът се различава от други грешки за изпълнение на код в WordPress по своите изисквания за точно време. За сравнение, Cybersecuritynews.com по-рано отрази уязвимост за отдалечено изпълнение на код в WordPress, свързана с Imagick, която изискваше акаунт на автор (Author) или по-високи привилегии.
Според предоставения от Wordfence доклад, корекцията за сигурност рандомизира временната папка, добавя защита чрез индексен файл и блокира небезопасната обработка на временно съхранените конфигурационни данни.
WordPress също така пусна корекции за по-стари разклонения до версия 4.7, въпреки че само най-новото издание получава активна поддръжка. Администраторите могат да проверят инсталираната си версия в Табло (Dashboard) > Обновявания (Updates).
Клиентите на Wordfence Premium, Care и Response получиха новото правило незабавно. Планирано е безплатните потребители да го получат на 27 ноември 2026 г. Сайтовете, използващи Wordfence, трябва да активират разширената защита (Extended Protection).
Това зарежда защитната стена преди изпълнението на директно заявените PHP файлове, за разлика от базовата защита, която се зарежда чрез WordPress. Тази разлика е от значение, тъй като тези атаки изискват директно временно подготвения инсталатор. Покритието от защитната стена не замества обновяването на ядрото (Core).
Администраторите трябва да прегледат заявките към PHP файлове под wp-content/upgrade, да проучат непознати администраторски акаунти и плъгини и да сканират за неочаквани промени във файловете.
Изданието също така отстранява проблеми със съхранен междусайтов скриптинг (stored XSS), разкриване на информация и права за достъп, което прави бързото обновяване важно отвъд тази единствена RCE уязвимост.