Вскоре после выхода исправления уязвимость в ядре WordPress начали активно проверять на уязвимых сайтах. За 24 часа компания Wordfence заблокировала 62 969 попыток атак.
Проблема затрагивает WordPress Core версий с 4.7 по 7.1.3. Это уязвимость удалённого выполнения кода (RCE) с оценкой CVSS 8.1. Идентификатора CVE ей не присвоили. Исправление выпустили 28 октября 2026 года; владельцам сайтов рекомендуется как можно скорее установить WordPress 7.1.4.
Уязвимость связана с обновлением ядра полным пакетом. Во время установки WordPress распаковывает новые файлы в заранее предсказуемый каталог внутри
Если злоумышленник без учётной записи обратится к установщику в нужный момент, он может взаимодействовать с временной копией WordPress и добиться выполнения PHP-кода. Для атаки нужно поймать короткий промежуток, пока система распаковывает обновление.
Алекс Томас, руководитель команды Wordfence Threat Response Team, пояснил, что эксплуатация требует попасть именно в это узкое окно. По его словам, злоумышленники быстро распознали гонку условий: они многократно опрашивали сайты, пытаясь застать установку полного обновления.
Два крупнейших источника атак примерно 14,5 часа подряд проверяли небольшие группы сайтов. Другие источники перебирали варианты путей к каталогу распаковки и названия версий. В Wordfence сочли такие запросы и длительный опрос признаками того, что атакующие поняли устройство уязвимости и начали подстраивать попытки под ожидаемую структуру каталогов.
После обновления стоит проверить журналы сервера на подозрительные запросы к PHP-файлам в
Проблема затрагивает WordPress Core версий с 4.7 по 7.1.3. Это уязвимость удалённого выполнения кода (RCE) с оценкой CVSS 8.1. Идентификатора CVE ей не присвоили. Исправление выпустили 28 октября 2026 года; владельцам сайтов рекомендуется как можно скорее установить WordPress 7.1.4.
Уязвимость связана с обновлением ядра полным пакетом. Во время установки WordPress распаковывает новые файлы в заранее предсказуемый каталог внутри
wp-content/upgrade. В подготовленной копии находится установщик WordPress, а сам каталог может быть доступен через интернет. Если злоумышленник без учётной записи обратится к установщику в нужный момент, он может взаимодействовать с временной копией WordPress и добиться выполнения PHP-кода. Для атаки нужно поймать короткий промежуток, пока система распаковывает обновление.
Алекс Томас, руководитель команды Wordfence Threat Response Team, пояснил, что эксплуатация требует попасть именно в это узкое окно. По его словам, злоумышленники быстро распознали гонку условий: они многократно опрашивали сайты, пытаясь застать установку полного обновления.
Два крупнейших источника атак примерно 14,5 часа подряд проверяли небольшие группы сайтов. Другие источники перебирали варианты путей к каталогу распаковки и названия версий. В Wordfence сочли такие запросы и длительный опрос признаками того, что атакующие поняли устройство уязвимости и начали подстраивать попытки под ожидаемую структуру каталогов.
После обновления стоит проверить журналы сервера на подозрительные запросы к PHP-файлам в
wp-content/upgrade. Также следует просмотреть список администраторов, установленных плагинов и PHP-файлов: незнакомые записи или файлы могут указывать на компрометацию сайта.
