Уязвимость в ядре WordPress атакуют десятки тысяч раз в сутки сразу после выхода исправления

Злоумышленники пытаются эксплуатировать опасную уязвимость в ядре WordPress, причём попытки начались вскоре после выхода исправлений. Ошибка позволяет удалённо выполнить код на сервере и затрагивает версии WordPress Core с 4.7 по 7.1.3. Идентификатора CVE у неё нет, а оценка по шкале CVSS составляет 8,1 балла. Патчи были опубликованы 28 октября 2026 года.

Суть проблемы

По данным компании Wordfence, которая специализируется на безопасности WordPress, уязвимость связана с предсказуемыми и доступными из веба каталогами, которые используются при полном обновлении ядра. Это позволяет неаутентифицированному атакующему выполнить код на сервере, пока идёт обновление.

Уязвимые версии распаковывают новые файлы в предсказуемый каталог внутри wp-content/upgrade. Туда же попадает и установщик WordPress. «Поскольку на многих серверах этот промежуточный каталог доступен из веба, атакующий без аутентификации, обратившийся к установщику в нужный момент, может взаимодействовать с подготовленной копией WordPress и добиться выполнения PHP-кода», — пояснил Алекс Томас, руководитель группы реагирования на угрозы Wordfence.

Узкое окно атаки

Успешная эксплуатация требует выиграть состояние гонки, то есть попасть в очень короткий промежуток, пока WordPress распаковывает обновление. Для этого должны совпасть несколько условий:

• полный пакет обновления, содержащий файлы установщика;
• публичный веб-доступ и возможность выполнения PHP в промежуточном каталоге;
• предсказуемый или обнаруженный путь к этому каталогу;
• достаточно времени, чтобы завершить атаку до удаления временных файлов.

В обычных лабораторных условиях такое окно длится лишь несколько секунд. Однако злоумышленников это не останавливает: они раз за разом опрашивают уязвимые пути, например setup-config.php. За последние 24 часа Wordfence заблокировала 62 969 атак, направленных на эту уязвимость.

«Два крупнейших источника примерно 14,5 часа непрерывно опрашивали небольшие группы сайтов. Такое поведение соответствует попыткам поймать короткое окно обновления», — отметил Томас. По его словам, другие источники перебирали множество вариантов названий промежуточных каталогов и версий. Не все запросы использовали точный уязвимый путь, но упорство атакующих и прицельные проверки структуры каталогов показывают, что состояние гонки быстро поняли и начали эксплуатировать.

Что делать

Владельцам сайтов на WordPress рекомендуется как можно скорее обновиться до версии 7.1.4. Кроме того, стоит проверить журналы на подозрительные запросы к PHP-файлам в wp-content/upgrade и поискать незнакомые учётные записи администраторов, плагины или PHP-файлы.

Источник: The Hacker News