Уязвимость RCE в WordPress Core: 63 000 попыток атак за сутки

Атаки на WordPress Core начались после выхода патчей

Угрозы эксплуатируют уязвимость удаленного выполнения кода в WordPress Core. Уязвимость затрагивает версии от 4.7 до 7.1.3. Её оценка по шкале CVSS составляет 8.1. Исправление вышло 28 октября 2026 года. Атаки начались вскоре после выпуска патчей. Компании Wordfence удалось заблокировать 62 969 попыток атак за последние 24 часа. Злоумышленники пытаются использовать уязвимость, многократно запрашивая доступ к файлам в директории обновлений. Некоторые источники атаковали небольшие группы сайтов в течение 14,5 часов. Другие источники тестировали различные пути и имена версий для директорий обновлений. Атакующие быстро поняли природу уязвимости и начали её целенаправленно использовать.

WordPress Core распределяет файлы при обновлении

Уязвимость связана с предсказуемыми путями к файлам, используемыми при полном обновлении ядра WordPress. Это позволяет неаутентифицированным злоумышленникам выполнять код на сервере во время обновления. Проблема заключается в том, что затронутые версии распаковывают новые файлы в директорию wp-content/upgrade. Эта директория также содержит установщик WordPress. Поскольку директория доступна через веб-интерфейс на многих серверах, злоумышленник может получить доступ к распакованным файлам WordPress и выполнить PHP-код. Для успешной эксплуатации требуется одновременное выполнение нескольких условий. Необходимо наличие полного обновления, содержащего файлы установщика. Также требуется публичный доступ к директории обновлений через веб и PHP. Важно, чтобы путь к директории был предсказуемым или обнаруженным. Атакующий должен успеть завершить атаку до того, как WordPress удалит временные файлы. В лабораторных условиях окно для атаки длится всего несколько секунд. Злоумышленники постоянно проверяют уязвимые пути, такие как setup-config.php, чтобы спровоцировать ошибку.

Обновиться до 7.1.4 или отслеживать подозрительную активность

Владельцам сайтов на WordPress рекомендуется как можно скорее обновиться до версии 7.1.4. Следует отслеживать подозрительные запросы к PHP-файлам в директории wp-content/upgrade. Также необходимо проверять наличие незнакомых учетных записей администраторов, плагинов или PHP-файлов. Обновление устраняет уязвимость удаленного выполнения кода. Уязвимость не имеет идентификатора CVE. Она затрагивает версии WordPress Core от 4.7 до 7.1.3. Успешная эксплуатация требует совпадения нескольких условий, включая доступность временных файлов обновления через веб. Злоумышленники используют эту возможность для выполнения произвольного кода на сервере. Активные попытки эксплуатации уже зафиксированы.