Обновление до исправленной версии WordPress один раз прогоняет сайт через ту же уязвимость, которую закрывает. Патч ставится тем же механизмом, в котором нашлась ошибка. Атакующих это не смутило: попытки эксплуатации пошли в день публикации сведений. Сетевой экран Wordfence уже заблокировал свыше 240 000 запросов.
Описание
Команда безопасности WordPress выпустила 7.1.4 и версии с исправлением для старых веток 28 октября 2026 года. Ядро от 4.7 до 7.1.3 остаётся уязвимым. Речь о состоянии гонки: ошибка срабатывает в короткое окно, пока идёт обновление ядра. Учётная запись на сайте не нужна, поэтому оценка по CVSS - 8.1. Через несколько дней, 2 ноября, уязвимость попала в каталог Known Exploited Vulnerabilities агентства CISA. Такая запись означает подтверждённую активную эксплуатацию, а не теоретическую угрозу. Автор находки - исследователь Umut Bayram.
По данным исследователей самый плотный поток пришёлся на 30 октября: свыше 74 000 попыток за сутки. Всплеск уложился в промежуток с 29 октября по 1 ноября. Дальше активность спала, но не прекратилась. Большинство обращений - автоматические, наугад: скрипт стучится в служебный каталог обновления и надеется застать сайт в момент установки. Попасть в узкое окно удаётся редко, а завершить всю цепочку до удаления временных файлов ещё труднее. Отдельные адреса, по наблюдениям, генерируют десятки тысяч таких запросов. Сама установка патча тоже открывает окно - короткое, но открывает.
Если установочный файл в каталоге обновления доступен извне, атакующий доводит установку до конца. Он создаёт себе администратора и загружает на сервер свой код. Дальше - бэкдоры, правка материалов, выгрузка данных. Полный контроль над сайтом, без единого пароля. Отличить такую попытку от обычного шума можно по обращениям к служебным файлам обновления: легитимный апгрейд извне к ним не стучится. Отсутствие записей в логах при этом ничего не гарантирует.
Платным пользователям Wordfence правило защиты включили 28 октября, в день раскрытия. Бесплатная версия получит то же самое на 30 дней позже - 27 ноября. Сайты с автоматическими фоновыми обновлениями, скорее всего, уже на исправленной версии. Остальным стоит обновиться как можно скорее, хотя сам переход на патч один раз проходит через уязвимый процесс. Дополнительная мера - закрыть на уровне веб-сервера доступ к исполняемым файлам в каталоге обновления ещё до установки исправления. Заодно имеет смысл просмотреть этот каталог на остатки файлов, а список администраторов - на незнакомые имена.
Свыше 240 000 заблокированных запросов не означают 240 000 взломанных сайтов. Но окно, которое длится минуты, уже кто-то старательно караулит.
Индикаторы компрометации
