Злоумышленники пытаются использовать критическую уязвимость безопасности в WordPress Core вскоре после выпуска исправлений. Уязвимость, не имеющая идентификатора CVE, связана с возможностью удаленного выполнения кода и затрагивает версии WordPress Core с 4.7 по 7.1.3. Ее оценка по шкале CVSS составляет 8.1. Исправления для этой уязвимости были выпущены 28 октября 2026 года.
«Это связано с предсказуемыми, доступными через веб-интерфейс временными путями, используемыми при полных обновлениях ядра», — заявили в Wordfence. «Это позволяет неаутентифицированным злоумышленникам выполнять код на сервере во время обновления».
Компания по безопасности WordPress отметила, что успешная эксплуатация требует «очень узкого окна, когда WordPress распаковывает полное обновление ядра». Проблема заключается в том, что затронутые версии распаковывают новые файлы в предсказуемую директорию в папке «wp-content/upgrade». Эта копия также включает установщик WordPress.
«Поскольку временная директория доступна через веб-интерфейс на многих серверах, неаутентифицированный злоумышленник, запрашивающий установщик в нужный момент, может взаимодействовать с распакованной копией WordPress и перейти к выполнению PHP-кода», — сказал Алекс Томас, руководитель команды реагирования на угрозы Wordfence.
Злоумышленник, которому удастся выиграть гонку условий, сможет выполнять код на сервере при соблюдении следующих условий:
Хотя это окно в обычных лабораторных условиях длится всего несколько секунд, злоумышленники постоянно сканируют уязвимые пути, такие как «setup-config.php», пытаясь вызвать ошибку. За последние 24 часа Wordfence заблокировал 62 969 атак на эту уязвимость.
«Два из крупнейших источников в течение примерно 14,5 часов неоднократно сканировали небольшие группы сайтов, что соответствует попыткам поймать короткое окно обновления», — сказал Томас. «Другие источники тестировали множество вариаций временных директорий и имен версий».
«Не каждый запрос использовал точный уязвимый путь, но постоянное сканирование и точные зондирования макета показывают, что злоумышленники быстро поняли условие гонки и начали его использовать».
В связи с активными попытками эксплуатации владельцам сайтов WordPress рекомендуется как можно скорее обновиться до версии 7.1.4 и следить за подозрительными запросами к PHP-файлам, расположенным в папке «wp-content/upgrade», а также за незнакомыми учетными записями администраторов, плагинами или PHP-файлами.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
