WordPress RCE ranjivost meta 62.969 pokušaja napada
Wordfence je tokom 24 sata blokirao 62.969 pokušaja napada na ranjivost za udaljeno izvršavanje koda u WordPress Core-u. Problem pogađa verzije od 4.7 do 7.1.3, ima ocenu CVSS 8.1, nema dodeljeni CVE identifikator, a zakrpe su objavljene 28. oktobra 2026. u verziji WordPress 7.1.4.
Napadi su počeli ubrzo po objavi zakrpa. Ranjivost se vezuje za potpuno ažuriranje jezgra, kada WordPress nove datoteke privremeno raspakuje u predvidivu putanju ispod direktorijuma wp-content/upgrade.
Trka sa vremenom tokom ažuriranja
Privremena kopija sadrži i WordPress instalater. Ako je pripremni direktorijum javno dostupan preko veba i server obrađuje PHP, neprijavljeni napadač može pokušati da pristupi instalateru dok je kopija još prisutna. Uspeh zavisi od toga da zahtev stigne u veoma kratkom periodu raspakivanja i pre uklanjanja privremenih datoteka.
Za iskorišćavanje su potrebni potpuno ažuriranje sa datotekama instalatera, javni veb i PHP pristup pripremnom stablu, predvidiva ili otkrivena putanja, kao i dovoljno vremena da se postupak dovrši. Wordfence navodi da taj prozor u uobičajenim laboratorijskim uslovima traje svega nekoliko sekundi.
Obrasci aktivnih pokušaja
Napadači zato ponavljano proveravaju putanje kao što je setup-config.php, ne bi li pogodili trenutak ažuriranja. Dva najveća izvora saobraćaja proveravala su manje grupe sajtova približno 14,5 sati, dok su drugi izvori isprobavali više varijacija direktorijuma za pripremu i naziva verzija.
Nisu svi zahtevi koristili potpuno istu ranjivu putanju, ali dugotrajno ispitivanje i provere tačnog rasporeda datoteka ukazuju da su akteri brzo prepoznali prirodu uslova trke. Sama činjenica da je prozor kratak zato nije dovoljna zaštita za nezaštićene instalacije.
Koraci za administratore
Administratori WordPress sajtova treba što pre da ažuriraju instalacije na verziju 7.1.4. Istovremeno treba pregledati sumnjive zahteve ka PHP datotekama u direktorijumu wp-content/upgrade, kao i proveriti da li postoje nepoznati administratorski nalozi, dodaci ili PHP datoteke.
Za poslovanje je najvažnije da se ažuriranje ne tretira kao rutinski zadatak koji može da čeka: aktivni pokušaji pokazuju da je neophodno spojiti pravovremenu primenu zakrpe sa proverom zapisa i stanja administratorskog pristupa.