Wordfence ka bllokuar 62,969 tentativa sulmi në 24 orë kundër një dobësie në WordPress Core, pak pas publikimit të korrigjimeve më 28 tetor 2026. Dobësia prek versionet 4.7 deri në 7.1.3, mundëson ekzekutimin e kodit në distancë (RCE) dhe ka vlerësim CVSS 8.1. Ajo nuk ka identifikues CVE.
Problemi lidhet me dosjet e përkohshme me vendndodhje të parashikueshme nën “wp-content/upgrade”, ku shpaketohen skedarët gjatë përditësimeve të plota të Core. Kopja përfshin edhe instaluesin e WordPress. Në serverët ku dosja është e arritshme nga interneti, sulmues pa autentikim mund të përdorin instaluesin në çastin e duhur dhe të arrijnë të ekzekutojnë kod PHP.
Sipas Wordfence, shfrytëzimi kërkon kapjen e një intervali shumë të ngushtë, që në laborator zgjat vetëm disa sekonda. Sulmuesit po dërgojnë kërkesa të përsëritura drejt shtigjeve si “setup-config.php”. Dy nga burimet kryesore kontrolluan vazhdimisht grupe të vogla faqesh për rreth 14.5 orë; të tjera provuan variante të dosjeve dhe emrave të versioneve.
Pronarëve të faqeve u rekomandohet të përditësojnë sa më shpejt në WordPress 7.1.4. Gjithashtu, duhet të kontrollojnë kërkesat e dyshimta drejt skedarëve PHP nën “wp-content/upgrade”, si dhe llogaritë e panjohura të administratorëve, shtojcat ose skedarët PHP të panjohur.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
