WordPress RCE probes zielen auf kurzes Zeitfenster bei Core-Updates
Ausnutzungsversuche für WordPress RCE zielen auf eine kurzzeitige Gelegenheit ab, die entsteht, während betroffene Websites vollständige WordPress Core-Updates installieren. Remote code execution (RCE) bezeichnet die Auswirkung einer Schwachstelle, durch die ein Angreifer Softwarebefehle auf dem Server der Website ausführen kann. Wordfence berichtet, kurz nach der Bereitstellung von Patches innerhalb von 24 Stunden 62.969 auf dieses Problem gerichtete Versuche blockiert zu haben.
Die Schwachstelle mit hohem Schweregrad betrifft WordPress Core in den Versionen 4.7 bis 7.1.3. WordPress Core ist die Hauptsoftware, mit der eine WordPress-Website betrieben wird, unabhängig von ihren installierten Themes und Plugins. Das Problem hat im Common Vulnerability Scoring System (CVSS) einen Wert von 8,1. CVSS ist eine Standardskala zur Beschreibung des Schweregrads einer Sicherheitsschwachstelle. Es wurde keine Kennung im System Common Vulnerabilities and Exposures (CVE) vergeben. Patches wurden am 28. Oktober 2026 veröffentlicht, und Website-Betreibern wird empfohlen, so schnell wie möglich auf WordPress 7.1.4 zu aktualisieren.
Wordfence führt die Schwachstelle auf vorhersehbare temporäre Speicherorte zurück, die während eines vollständigen WordPress Core-Updates verwendet werden. Bei dieser Art von Update entpackt WordPress einen vollständigen Satz neuer Dateien in eine staging directory, also einen temporären Ordner, der bis zum Abschluss der Installation verwendet wird. Betroffene Versionen legen diese Dateien unter dem über das Web zugänglichen Pfad "wp-content/upgrade" ab. Die bereitgestellte temporäre Kopie enthält auch den WordPress-Installer.
Wenn dieses temporäre Verzeichnis über das öffentliche Web erreichbar ist, kann ein unauthenticated attacker, also jemand, der nicht angemeldet ist, den bereitgestellten Installer genau im richtigen Moment aufrufen. Der Angreifer kann anschließend mit der temporären WordPress-Kopie interagieren und bis zur Ausführung von PHP-Code gelangen. PHP ist die Programmiersprache, mit der ein Großteil von WordPress auf einem Server ausgeführt wird. Diese Gelegenheit besteht normalerweise nur, während das vollständige Update entpackt wird und bevor WordPress die temporären Dateien entfernt.
Eine erfolgreiche Ausnutzung hängt daher davon ab, dass mehrere Bedingungen gleichzeitig erfüllt sind. Bei dem Update muss es sich um ein vollständiges Paket handeln, das die Installer-Dateien enthält. Die staging directory muss den öffentlichen Webzugriff und die Ausführung von PHP erlauben. Ihr Speicherort muss vorhersehbar sein oder auf andere Weise entdeckt werden, und der Angreifer muss genügend Zeit haben, den Vorgang vor der Bereinigung abzuschließen. Wordfence beschreibt dies als race condition, bei der der Erfolg davon abhängt, während eines kurzen und zeitlich genau abgepassten Zustands auf eine Ressource zuzugreifen.
In normalen Laborumgebungen beobachtete Wordfence, dass dieses Zeitfenster nur wenige Sekunden dauerte. Angreifer gleichen diese Einschränkung aus, indem sie wiederholt anfällige Speicherorte abfragen, darunter "setup-config.php", um eine Website während ihres Updates zu treffen. Zwei der größten Quellen überprüften etwa 14,5 Stunden lang wiederholt kleine Gruppen von Websites. Andere Quellen probierten zahlreiche Layouts für staging directory sowie Variationen von Versionsnamen aus.
Nicht jede Anfrage verwendete genau den Pfad, der für die Ausnutzung der Schwachstelle erforderlich war. Wordfence erklärte jedoch, dass die anhaltenden Abfragen und probes nach genauen Verzeichnislayouts darauf hindeuten, dass die Angreifer das Timing-Problem verstanden hatten und aktiv versuchten, es auszunutzen. Die gemeldete Zahl von 62.969 steht für blockierte Versuche und nicht für die Anzahl bestätigter Kompromittierungen von Websites. Eine Anfrage muss außerdem mit dem engen Update-Zeitfenster zusammenfallen und die übrigen Bedingungen erfüllen, bevor Code ausgeführt werden kann.
Website-Betreiber sollten WordPress 7.1.4 installieren und die Serveraktivitäten auf verdächtige Anfragen an PHP-Dateien unter "wp-content/upgrade" überprüfen. Sie sollten ihre Websites außerdem auf unbekannte Administratorkonten, Plugins oder PHP-Dateien untersuchen, da diese weitere Nachforschungen rechtfertigen können. Betreiber, die Website-Dateien oder Anfrageprotokolle nicht selbst prüfen können, können ihren Hosting-Anbieter oder Website-Administrator bitten, diese Kontrollen durchzuführen.
Für Betreiber, die einen verwalteten Dienst in Betracht ziehen, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an. Unabhängig davon, wie eine Website betrieben wird, sind die zeitnahe Installation von WordPress 7.1.4 und die Überprüfung auf die von Wordfence identifizierten Anzeichen die direkten Maßnahmen, die für diese Schwachstelle relevant sind.