Sondimet WordPress RCE synojnë dritaren e shkurtër të përditësimit të WordPress Core
Tentativat për shfrytëzimin e WordPress RCE po synojnë një mundësi jetëshkurtër që krijohet ndërsa sajtet e prekura instalojnë përditësime të plota të WordPress Core. Remote code execution (RCE) është një pasojë e një cenueshmërie që mund t’i lejojë një sulmuesi të ekzekutojë komanda softuerike në serverin e sajtit. Wordfence raporton se bllokoi 62,969 tentativa të drejtuara ndaj këtij problemi gjatë një periudhe 24-orëshe, pak pasi u vunë në dispozicion patch-et.
Dobësia me rrezikshmëri të lartë prek versionet 4.7 deri në 7.1.3 të WordPress Core. WordPress Core është softueri kryesor që vë në funksion një sajt WordPress, veçmas themes dhe plugins të instaluara. Problemi ka një rezultat prej 8.1 në Common Vulnerability Scoring System (CVSS). CVSS është një shkallë standarde që përdoret për të përshkruar seriozitetin e një dobësie sigurie. Nuk është caktuar asnjë identifikues Common Vulnerabilities and Exposures (CVE). Patch-et u publikuan më 28 tetor 2026 dhe pronarët e sajteve këshillohen të përditësojnë në WordPress 7.1.4 sa më shpejt të jetë e mundur.
Wordfence ia atribuon cenueshmërinë vendndodhjeve të përkohshme të parashikueshme që përdoren gjatë një përditësimi me paketë të plotë të WordPress Core. Në këtë lloj përditësimi, WordPress shpaketon një grup të plotë skedarësh të rinj në një staging directory, që është një dosje e përkohshme e përdorur përpara përfundimit të instalimit. Versionet e prekura i vendosin këta skedarë nën shtegun e qasshëm nga web-i "wp-content/upgrade". Kopja e përgatitur përmban gjithashtu instaluesin e WordPress.
Nëse ajo dosje e përkohshme mund të arrihet përmes web-it publik, një unauthenticated attacker, pra dikush që nuk ka bërë sign in, mund ta kërkojë instaluesin e përgatitur pikërisht në momentin e duhur. Më pas, sulmuesi mund të ndërveprojë me kopjen e përkohshme të WordPress dhe të arrijë deri te ekzekutimi i kodit PHP. PHP është gjuha e programimit që përdoret për të ekzekutuar një pjesë të madhe të WordPress në një server. Mundësia zakonisht ekziston vetëm ndërsa përditësimi i plotë po shpaketohet dhe përpara se WordPress t’i heqë skedarët e përkohshëm.
Prandaj, shfrytëzimi me sukses varet nga përmbushja e disa kushteve njëkohësisht. Përditësimi duhet të jetë një paketë e plotë që përmban skedarët e instaluesit. Dosja e përkohshme duhet të lejojë qasje publike nga web-i dhe ekzekutimin e PHP. Vendndodhja e saj duhet të jetë e parashikueshme ose të zbulohet në një mënyrë tjetër, ndërsa sulmuesi duhet të ketë kohë të mjaftueshme për ta përfunduar procesin përpara pastrimit. Wordfence e përshkruan këtë si një race condition, ku suksesi varet nga arritja e një burimi gjatë një gjendjeje të shkurtër dhe të përcaktuar me saktësi në kohë.
Në mjedise normale laboratorike, Wordfence vërejti se kjo dritare zgjaste vetëm disa sekonda. Sulmuesit po e kompensojnë këtë kufizim duke kontrolluar vazhdimisht dhe në mënyrë të përsëritur vendndodhjet e cenueshme, përfshirë "setup-config.php", në përpjekje për ta kapur një sajt ndërsa po përditësohet. Dy prej burimeve më të mëdha kontrolluan në mënyrë të përsëritur grupe të vogla sajtesh për rreth 14.5 orë. Burime të tjera provuan konfigurime të shumta të staging directory dhe variante të emrave të versioneve.
Jo çdo kërkesë përdori shtegun e saktë që nevojitej për shfrytëzimin e dobësisë. Megjithatë, Wordfence tha se kontrollimi i zgjatur dhe sondimet për konfigurime të sakta të dosjeve tregojnë se sulmuesit e kishin kuptuar problemin e kohës dhe po përpiqeshin në mënyrë aktive ta shfrytëzonin atë. Shifra e raportuar prej 62,969 përfaqëson tentativa të bllokuara dhe jo numrin e sajteve të konfirmuara si të komprometuara. Një kërkesë duhet gjithashtu të përkojë me dritaren e ngushtë të përditësimit dhe të përmbushë kushtet e tjera përpara se të mund të ndodhë ekzekutimi i kodit.
Pronarët e sajteve duhet të instalojnë WordPress 7.1.4 dhe të shqyrtojnë aktivitetin e serverit për kërkesa të dyshimta ndaj skedarëve PHP nën "wp-content/upgrade". Ata duhet t’i kontrollojnë gjithashtu sajtet e tyre për llogari administratori, plugins ose skedarë PHP që nuk i njohin, pasi këto mund të kërkojnë hetim të mëtejshëm. Pronarët që nuk mund t’i kontrollojnë vetë skedarët e sajtit ose regjistrat e kërkesave mund t’i kërkojnë ofruesit të hosting ose administratorit të sajtit t’i kryejë këto kontrolle.
Për pronarët që po shqyrtojnë një shërbim të menaxhuar, AEU Hosting ofron managed WordPress hosting, të siguruar nga skaji në skaj. Pavarësisht mënyrës se si operohet një sajt, instalimi i menjëhershëm i WordPress 7.1.4 dhe kontrolli për treguesit e identifikuar nga Wordfence janë veprimet e drejtpërdrejta që lidhen me këtë cenueshmëri.