W jądrze WordPressa wykryto poważną podatność umożliwiającą zdalne wykonanie kodu (RCE), która dotyczy wersji od 4.7 do 7.1.3. Luka wynika z przewidywalnych ścieżek tymczasowych używanych podczas aktualizacji całego pakietu systemu. Atakujący mogą wykorzystać tzw. race condition, gdy WordPress rozpakowuje nowe pliki w katalogu wp-content/upgrade.
Mechanizm ataku polega na uderzeniu w bardzo wąskie okno czasowe, w którym instalator jest dostępny publicznie w katalogu stagingowym. Jeśli napastnik zdoła uzyskać dostęp do tych plików, może przeprowadzić egzekucję kodu PHP na serwerze. Eksperci z Wordfence odnotowali ogromną skalę prób wykorzystania tej luki, blokując blisko 63 tysiące ataków w ciągu doby.
Napastnicy stosują metody ciągłego sprawdzania (polling) przewidywalnych ścieżek, takich jak setup-config.php, próbując trafić w moment trwania aktualizacji. Wymaga to jednak spełnienia kilku warunków, m.in. publicznego dostępu do katalogu tymczasowego oraz obecności instalatora w pakiecie aktualizacji.
Właściciele stron powinni niezwłocznie zaktualizować WordPressa do wersji 7.1.4 lub nowszej. Zaleca się również monitorowanie logów pod kątem podejrzanych żądań do plików PHP w katalogu wp-content/upgrade oraz sprawdzanie obecności nieznanych kont administratora lub nowych wtyczek.
