W systemie WordPress odkryto poważną podatność typu race condition, która umożliwia zdalne wykonanie kodu (RCE) bez konieczności posiadania konta na stronie. Problem dotyczy procesu aktualizacji rdzenia systemu i wynika z przewidywalnych ścieżek tymczasowych katalogów, w których rozpakowywane są pliki podczas aktualizacji. Choć atak wymaga precyzyjnego trafienia w bardzo wąskie okno czasowe, napastnicy już aktywnie skanują serwery w poszukiwaniu podatnych ścieżek.
Firma Defiant oraz Wordfence odnotowały masowe próby eksploatacji luki niemal natychmiast po wydaniu łatek. W ciągu pierwszych 21 godzin od wykrycia aktywności zarejestrowano ponad 18 500 zapytań celujących w ścieżki instalatora setup-config.php. Na ten moment nie potwierdzono skutecznych przejęć systemów, ale skala ataków jest bardzo wysoka.
Aby wyeliminować zagrożenie, twórcy WordPressa wprowadzili poprawki, które wprowadzają losowość do nazw katalogów tymczasowych, dodają zabezpieczenia indeksowania oraz uniemożliwiają niebezpieczne promowanie danych konfiguracyjnych. Naprawa została uwzględniona w wersji 7.1.4 oraz wstecznie w starszych gałęziach systemu.
