Злоумышленники пытаются поймать WordPress в момент обновления: временная копия установщика может на несколько секунд открыть путь к выполнению чужого кода на сервере без входа в аккаунт. Wordfence раскрыла механизм 29 октября и сообщила о более чем 18 500 запросах к таким путям за первые 21 час наблюдения. Это попытки атаки, а не число взломанных сайтов.

При обновлении полным пакетом уязвимые версии распаковывают файлы в предсказуемую временную папку. Если сервер разрешает обращаться к ней из интернета и исполнять находящийся там PHP-код, посторонний может успеть обратиться к установщику до удаления файлов. В лабораторных проверках окно обычно длилось считаные секунды. По данным Wordfence, некоторые источники запросов опрашивали небольшие группы сайтов около 14,5 часа, пытаясь попасть в этот момент.

WordPress выпустила исправление 28 октября в версии 7.1.4; его перенесли и в старые ветки вплоть до 4.7. Исправление делает имя временной папки случайным, добавляет защитный индексный файл и блокирует небезопасный перенос временных настроек. Ошибка относится к самому механизму обновления WordPress, а не к стороннему плагину.

Wordfence подчёркивает, что эксплуатация сложна: нужны одновременно полный пакет, доступная извне временная папка и выигранная гонка со временем. Компания не приводит подтверждённого числа успешных компрометаций.