Wordfence заблокировала почти 63 тыс. атак на уязвимость WordPress
Wordfence за 24 часа заблокировала 62 969 попыток атак на уязвимость удалённого выполнения кода в WordPress Core. Проблема затрагивает версии от 4.7 до 7.1.3, получила оценку CVSS 8,1 и не имеет идентификатора CVE. Исправления выпущены 28 октября 2026 года, а владельцам сайтов рекомендовано перейти на WordPress 7.1.4.
Ошибка связана с временной папкой обновления
Уязвимость проявляется при полном обновлении ядра WordPress. Во время процедуры новые файлы распаковываются в предсказуемый временный каталог внутри wp-content/upgrade; в этой копии присутствуют и файлы установщика WordPress.
На серверах, где этот каталог доступен через веб и разрешено выполнение PHP, неаутентифицированный атакующий может запросить установщик в момент распаковки. При успешном совпадении по времени он получает возможность выполнить код на сервере.
Wordfence подчёркивает, что атака требует очень короткого окна: в лабораторных условиях оно обычно длится лишь несколько секунд. Однако временных файлов должно быть достаточно, чтобы злоумышленник успел пройти цепочку до выполнения PHP-кода.
Атакующие перебирают пути и ждут обновления
Для эксплуатации также нужны полный пакет обновления с файлами установщика, публичный доступ к временной структуре, известный либо предсказуемый путь и доступ к PHP. Эти условия объясняют, почему злоумышленники не ограничиваются единичными запросами.
По наблюдениям Wordfence, атакующие многократно обращаются к уязвимым путям, включая setup-config.php, чтобы застать этап распаковки. Два крупнейших источника около 14,5 часа опрашивали небольшие группы сайтов. Другие источники тестировали варианты имён временных каталогов и версий.
Не каждый запрос использовал точный уязвимый путь, но постоянный опрос и проверки структуры каталогов показывают, что механизм гонки был быстро понят атакующим. Активность началась вскоре после выхода исправлений.
Что проверить владельцам сайтов
Организациям следует без промедления обновить WordPress до версии 7.1.4. После обновления стоит изучить журналы на предмет подозрительных запросов к PHP-файлам в wp-content/upgrade.
Дополнительно Wordfence рекомендует проверить административные учётные записи, установленные плагины и PHP-файлы на наличие неизвестных объектов. Для бизнеса практический вывод состоит в том, что процесс обновления CMS требует не только установки патча, но и контроля временных веб-доступных каталогов и последующего аудита признаков компрометации.