Atacantes têm sido observados tentando explorar uma falha de alta gravidade no WordPress Core logo após a liberação das correções.
A vulnerabilidade, que não possui identificador CVE (Common Vulnerabilities and Exposures), está relacionada a um caso de execução remota de código que afeta as versões 4.7 até 7.1.3 do WordPress Core. Ela recebeu pontuação 8,1 no sistema de pontuação CVSS (Common Vulnerability Scoring System). As correções para a falha foram liberadas em 28 de outubro de 2026.
“Isso se deve a caminhos de preparação previsíveis e acessíveis pela web, usados durante atualizações completas do núcleo”, afirmou a Wordfence. “Isso torna possível que atacantes não autenticados executem código no servidor durante a janela da atualização.”
A empresa de segurança observou que a exploração bem-sucedida exige que o “atacante acerte uma janela muito estreita enquanto o WordPress descompacta uma atualização completa do Core”.
O problema se resume ao fato de que as versões afetadas descompactam, em um diretório previsível, os novos arquivos que fazem parte de uma atualização completa do Core. Essa cópia também inclui o instalador do WordPress.
“Como o diretório de preparação é acessível pela web em muitos servidores, um atacante não autenticado que solicite o instalador no momento exato pode interagir com a cópia preparada do WordPress e avançar até a execução de código PHP (linguagem de programação em que o WordPress é escrito)”, disse Alex Thomas, que lidera a equipe Wordfence Threat Response.
Um atacante capaz de vencer a condição de corrida pode obter a capacidade de executar código no servidor, desde que sejam atendidas as seguintes condições:
- Uma atualização completa que contenha os arquivos do instalador
- Acesso público via web e PHP à árvore de preparação
- Um caminho de preparação previsível ou descoberto, e
- Tempo suficiente para concluir o ataque antes que o WordPress remova os arquivos temporários
Embora essa janela tenha sido observada durando apenas segundos em ambientes de laboratório comuns, atacantes estão consultando repetidamente caminhos vulneráveis, como “setup-config.php”, na tentativa de acionar a falha. Nas últimas 24 horas, a Wordfence informou ter bloqueado 62.969 ataques direcionados à vulnerabilidade.
“Duas das maiores origens consultaram repetidamente pequenos grupos de sites por cerca de 14,5 horas, um comportamento compatível com a tentativa de capturar a breve janela de atualização”, disse Thomas. “Outras origens testaram muitas variações de nomes de diretórios de preparação e de versões.”
“Nem todas as requisições usaram exatamente o caminho vulnerável, mas as consultas persistentes e as sondagens do layout exato mostram que os atacantes rapidamente entenderam a condição de corrida e passaram a direcioná-la.”
Com tentativas de exploração ativas já em andamento, os administradores de sites com WordPress são orientados a atualizar para a versão 7.1.4 o quanto antes e a procurar requisições suspeitas a arquivos PHP localizados em “wp-content/upgrade”, além de contas de administrador, plugins ou arquivos PHP desconhecidos.
