Röviddel azután, hogy kiadták a javításokat, máris megfigyelték, hogy támadók egy súlyos WordPress Core biztonsági hibát próbálnak kihasználni.

A sebezhetőséghez még nem tartozik CVE-azonosító. Távoli kódfuttatást tesz lehetővé, és a WordPress Core 4.7 és 7.1.3 közötti verzióit érinti. A CVSS rendszerben 8,1-es pontszámot kapott. A hibához tartozó javítócsomagokat 2026. október 28-án adták ki.

„Ennek oka, hogy a teljes csomagos Core verziófrissítések során előre kiszámítható, weben elérhető staging elérési utakat használnak” – közölte a Wordfence közleménye. „Ez lehetővé teszi, hogy nem hitelesített támadók kódot futtassanak a szerveren a frissítés ideje alatt.”

A WordPress biztonsági cég szerint a sikeres kihasználáshoz az kell, hogy a „támadó eltalálja azt a nagyon szűk időablakot, amikor a WordPress éppen egy teljes Core frissítést csomagol ki”.

A probléma lényege, hogy az érintett verziók a teljes csomagos Core frissítés új fájljait egy előre kiszámítható könyvtárba csomagolják ki a „wp-content/upgrade” alatt. Ebben a másolatban a WordPress telepítője is benne van.

„Mivel a staging könyvtár sok szerveren weben keresztül elérhető, egy nem hitelesített támadó, aki a telepítőt pontosan a megfelelő pillanatban kéri le, kapcsolatba léphet az előkészített WordPress példánnyal, és eljuthat a PHP kódvégrehajtásig” – mondta Alex Thomas, a Wordfence Threat Response Team vezetője.

Ha a fenyegető szereplő meg tudja nyerni a versenyhelyzetet, képes lesz kódot futtatni a szerveren, feltéve, hogy az alábbi feltételek teljesülnek:

• Olyan teljes csomagos frissítés fut, amely tartalmazza a telepítő fájlokat
• A staging fa nyilvánosan elérhető weben és PHP-n keresztül
• A staging elérési út előre kiszámítható vagy felderített, és
• Van elég idő a támadás befejezésére, mielőtt a WordPress törli az ideiglenes fájlokat

Bár laboratóriumi környezetben ez az időablak általában csak néhány másodpercig tart, a támadók folyamatosan kérdezgetik a sebezhető útvonalakat, például a „setup-config.php” fájlt, hogy kiváltsák a hibát. Az elmúlt 24 órában a Wordfence közlése szerint 62 969 támadást blokkolt, amelyek ezt a sebezhetőséget célozták.

„Két legnagyobb forrás körülbelül 14,5 órán keresztül ismételten egy kis csoportnyi oldalt kérdezgetett, ami arra utal, hogy a rövid frissítési ablakot próbálták elkapni” – mondta Thomas. „Más források számos staging könyvtár- és verziónév-változatot teszteltek.”

„Nem minden kérés használta a pontosan sebezhető útvonalat, de a tartós lekérdezés és a pontos elrendezésre irányuló próbálkozások azt mutatják, hogy a támadók gyorsan megértették a versenyhelyzetet, és célzottan kezdték támadni.”

Mivel a sebezhetőséget már aktívan próbálják kihasználni, a WordPress-oldalak üzemeltetőinek azt javasolják, hogy mielőbb frissítsenek 7.1.4-es verzióra, és keressenek gyanús kéréseket a „wp-content/upgrade” alatti PHP-fájlokra, valamint ismeretlen adminisztrátori fiókokat, bővítményeket vagy PHP-fájlokat.