Er is geconstateerd dat dreigingsactoren kort na het uitbrengen van patches probeerden een ernstig beveiligingslek in WordPress Core te misbruiken.
De kwetsbaarheid, die geen CVE-identificatie heeft, heeft betrekking op een geval van remote code execution dat WordPress Core-versies 4.7 tot en met 7.1.3 raakt. Het heeft een CVSS-score van 8,1 op de CVSS-schaal. Patches voor het lek werden uitgebracht op 28 oktober 2026.
“Dit komt door voorspelbare, via het web toegankelijke staging-paden die worden gebruikt tijdens volledige Core-upgrades,” zei Wordfence. “Dit maakt het voor niet-geauthenticeerde aanvallers mogelijk om code op de server uit te voeren tijdens het upgrade-venster.”
Het WordPress-beveiligingsbedrijf merkte op dat succesvolle exploitatie vereist dat een “aanvaller een zeer smal venster raakt terwijl WordPress een volledige Core-update uitpakt.”
Het probleem komt erop neer dat getroffen versies nieuwe bestanden die deel uitmaken van een volledige Core-update uitpakken in een voorspelbare map onder “wp-content/upgrade”. Deze kopie bevat ook de WordPress-installatiebestanden.
“Omdat de staging-directory op veel servers via het web toegankelijk is, kan een niet-geauthenticeerde aanvaller die de installer op precies het juiste moment opvraagt, interactie hebben met de staged WordPress-kopie en doorgaan naar uitvoering van PHP-code,” zei Alex Thomas, die het Wordfence Threat Response Team leidt.
Een dreigingsactor die de raceconditie weet te winnen, kan de mogelijkheid krijgen om code op de server uit te voeren, mits aan de volgende voorwaarden is voldaan:
- Een volledige updatepakket dat de installer-bestanden bevat
- Publieke web- en PHP-toegang tot de staging-tree
- Een voorspelbaar of ontdekt staging-pad, en
- Voldoende tijd om de aanval te voltooien voordat WordPress de tijdelijke bestanden opruimt
Hoewel dat venster in normale labomgevingen slechts enkele seconden duurt, houden dreigingsactoren kwetsbare paden zoals “setup-config.php” herhaaldelijk in de gaten in een poging het lek te triggeren. In de afgelopen 24 uur zei Wordfence 62,969 aanvallen gericht op de kwetsbaarheid te hebben geblokkeerd.
“Twee van de grootste bronnen pollden herhaaldelijk kleine groepen sites gedurende ongeveer 14,5 uur, gedrag dat overeenkomt met het proberen te vangen van het korte upgrade-venster,” zei Thomas. “Andere bronnen testten veel variaties van staging-directory en versienaam.”
“Niet elk verzoek gebruikte het exact kwetsbare pad, maar het aanhoudende polllen en de exacte-layout probes tonen dat aanvallers de raceconditie snel begrepen en begonnen deze te targeten.”
Aangezien er al actieve exploitatiepogingen plaatsvinden, wordt eigenaren van WordPress-sites aangeraden zo snel mogelijk te updaten naar versie 7.1.4 en te letten op verdachte verzoeken naar PHP-bestanden onder “wp-content/upgrade”, evenals onbekende beheerdersaccounts, plugins of PHP-bestanden.
