Хакери атакуват уязвимост за отдалечено изпълнение на код (RCE) в ядрото на WordPress, която може да изложи уебсайтовете на риск по време на софтуерни обновявания. Предоставените данни от разузнаването на заплахи на Wordfence отчитат 60 471 блокирани опита за атака за 24 часа.

Това са опити за атаки, а не потвърдени компрометирания на уебсайтове, като числото не установява колко отделни сайта са били взети под прицел.

WordPress пусна версия 7.1.4 на 28 октомври 2026 г., с която отстранява 22 уязвимости в сигурността. Обновяването затваря слабостта за изпълнение на код заедно с проблеми, свързани със съхранен междусайтов скриптинг (XSS), разкриване на информация и права за достъп.

Официалното съобщение на WordPress призовава администраторите да инсталират корекциите за сигурност незабавно и приписва заслугата за докладването на пропуска при обновяване на изследователя Umut Bayram.

RCE уязвимост в WordPress

Уязвимостта включва състояние на надпревара (race condition), което означава, че атакуващият трябва да достигне до временна инсталация в точно определения момент. За разлика от пропуските, изискващи откраднати пароли или съществуващ акаунт, този проблем може да бъде използван без влизане в системата. Успешната експлоатация обаче зависи от условия, налични по време на пълно обновяване на ядрото на WordPress.

По време на този процес WordPress разархивира файловете за обновяване във временна подготвителна директория. Предвидимите имена на папките и публично достъпните инсталационни файлове могат за кратко да изложат на показ отделен инсталатор на WordPress. Атакуващ, който достигне до този инсталатор, може да го свърже с контролирана от него база данни, създавайки път за изпълнение на код на сървъра.

По-ранният материал на Cybersecuritynews.com относно обновяването за сигурност WordPress 7.1.4 обяснява, че корекцията за сигурност добавя 16 произволни символа към имената на временните папки, възстановява защитната обработка на index.php и предотвратява копирането на wp-config.php от работната директория. Тези промени са насочени към открития подготвителен процес, а не към уязвим плъгин на трета страна.

Прозорецът за атака обикновено трае само секунди, което прави експлоатацията трудна, но не и невъзможна. Многократните заявки дават на атакуващите повече възможности да попаднат на сайт, докато файловете му за обновяване са незащитени. Wordfence съобщава за опити за експлоатация след пускането на корекцията за сигурност, което показва, че киберпрестъпниците тестват слабостта въпреки строгите времеви изисквания.

Cybersecuritynews.com също отрази активните опити за експлоатация на WordPress. Важното разграничение тук е между заявки, блокирани от защитна стена, и успешно изпълнение на код. Големият брой заявки показва активност на атакуващите, но не доказва, че те са получили достъп до също толкова голям брой уебсайтове.

Предоставеният бюлетин на Wordfence посочва, че клиентите на плановете Premium, Care и Response са получили правило за защитната стена на 28 октомври – около три часа след излизането на обновяването. Потребителите на безплатната версия трябва да получат това правило на 27 ноември, след стандартното 30-дневно забавяне. Администраторите не трябва да чакат тази защита, преди да инсталират корекцията за сигурност.

Обновете WordPress и проверете защитата

Собствениците на сайтове трябва да отворят административното табло (Dashboard), да изберат секцията за обновявания (Updates) и да се уверят, че е инсталиран WordPress 7.1.4. Уебсайтовете, използващи по-стари разклонения, се нуждаят от съответното си издание за сигурност. Официалната документация за версиите изброява версии с приложени корекции за сигурност, включително 7.0.8, 6.9.11 и обратно портнати обновявания, стигащи до 4.7.39. Версиите на WordPress 4.6 и по-ранни вече не получават обновявания за сигурност.

Автоматичните фонови обновявания би трябвало да инсталират новата версия при поддържаните конфигурации, но администраторите трябва да проверят дали процесът е завършил, вместо да предполагат, че уебсайтовете им са защитени. Документацията също така ясно посочва, че само най-новата версия на WordPress остава активно поддържана. Корекциите за по-старите разклонения осигуряват път за обновяване, а не причина за отлагане на поддръжката.

Като допълнителна защита администраторите могат също да ограничат публичния уеб достъп до директорията wp-content/upgrade/. Защитна стена под формата на плъгин сама по себе си може да не покрие разархивирания инсталатор, тъй като той се зарежда отделно от основния сайт. Прилагането на обновяването за сигурност на ядрото остава основното решение за отстраняване на тази уязвимост по време на процеса на надграждане.