I probe RCE su WordPress prendono di mira la breve finestra di aggiornamento di WordPress Core
I tentativi di sfruttamento RCE su WordPress prendono di mira un'opportunità di breve durata che si crea mentre i siti interessati installano aggiornamenti completi di WordPress Core. La remote code execution (RCE) è l'impatto di una vulnerabilità che può consentire a un attaccante di eseguire comandi software sul server del sito web. Wordfence riferisce di aver bloccato 62.969 tentativi diretti contro questo problema in un periodo di 24 ore, poco dopo la disponibilità delle patch.
La falla ad alta gravità interessa le versioni di WordPress Core dalla 4.7 alla 7.1.3. WordPress Core è il software principale che gestisce un sito web WordPress, separato dai temi e dai plugin installati. Il problema ha un punteggio Common Vulnerability Scoring System (CVSS) di 8,1. CVSS è una scala standard utilizzata per descrivere la gravità di una debolezza di sicurezza. Non è stato assegnato alcun identificatore Common Vulnerabilities and Exposures (CVE). Le patch sono state pubblicate il 28 ottobre 2026 e si consiglia ai proprietari dei siti di aggiornare a WordPress 7.1.4 il prima possibile.
Wordfence attribuisce la vulnerabilità a posizioni temporanee prevedibili utilizzate durante un aggiornamento completo di WordPress Core. In questo tipo di aggiornamento, WordPress estrae un insieme completo di nuovi file in una staging directory, ossia una cartella temporanea usata prima del completamento dell'installazione. Le versioni interessate collocano tali file nel percorso accessibile dal web "wp-content/upgrade". La copia in staging contiene anche l'installer di WordPress.
Se quella directory temporanea è raggiungibile dal web pubblico, un unauthenticated attacker, cioè qualcuno che non ha effettuato l'accesso, può richiedere l'installer in staging esattamente al momento giusto. L'attaccante può quindi interagire con la copia temporanea di WordPress e arrivare all'esecuzione di codice PHP. PHP è il linguaggio di programmazione utilizzato per eseguire gran parte di WordPress su un server. Normalmente, l'opportunità esiste soltanto mentre l'aggiornamento completo viene estratto e prima che WordPress rimuova i file temporanei.
Il successo dello sfruttamento dipende quindi dal verificarsi simultaneo di diverse condizioni. L'aggiornamento deve essere un pacchetto completo contenente i file dell'installer. La directory temporanea deve consentire l'accesso dal web pubblico e l'esecuzione di PHP. La sua posizione deve essere prevedibile o comunque individuata e l'attaccante deve avere tempo sufficiente per completare il processo prima della rimozione dei file. Wordfence descrive questa situazione come una race condition, nella quale il successo dipende dal raggiungimento di una risorsa durante uno stato breve e con tempistiche estremamente precise.
Nei normali ambienti di laboratorio, Wordfence ha osservato che questa finestra durava soltanto pochi secondi. Gli attaccanti compensano tale limitazione effettuando ripetutamente polling sulle posizioni vulnerabili, incluso "setup-config.php", nel tentativo di intercettare un sito mentre si sta aggiornando. Due delle fonti principali hanno controllato ripetutamente piccoli gruppi di siti web per circa 14,5 ore. Altre fonti hanno provato numerose strutture della staging directory e varianti dei nomi delle versioni.
Non tutte le richieste utilizzavano il percorso esatto necessario per sfruttare la falla. Tuttavia, Wordfence ha affermato che il polling prolungato e i probe rivolti a strutture precise delle directory indicano che gli attaccanti avevano compreso il problema delle tempistiche e stavano cercando attivamente di sfruttarlo. La cifra segnalata di 62.969 rappresenta i tentativi bloccati, non il numero di compromissioni confermate di siti web. Perché possa verificarsi l'esecuzione di codice, una richiesta deve inoltre coincidere con la ristretta finestra di aggiornamento e soddisfare le altre condizioni.
I proprietari dei siti web devono installare WordPress 7.1.4 e controllare l'attività del server per individuare richieste sospette a file PHP nel percorso "wp-content/upgrade". Devono inoltre verificare la presenza nei propri siti di account amministratore, plugin o file PHP che non riconoscono, poiché potrebbero richiedere ulteriori indagini. I proprietari che non possono esaminare autonomamente i file del sito web o i log delle richieste possono chiedere al proprio provider di hosting o all'amministratore del sito di eseguire questi controlli.
Per i proprietari che stanno valutando un servizio gestito, AEU Hosting offre hosting WordPress gestito e protetto end to end. Indipendentemente dal modo in cui viene gestito un sito, applicare tempestivamente WordPress 7.1.4 e verificare gli indicatori identificati da Wordfence sono le azioni dirette pertinenti a questa vulnerabilità.