WordPress heeft een update uitgebracht voor een kwetsbaarheid die ongeauthenticeerde remote code execution mogelijk maakt; aanvallen werden kort na patchrelease gemeld.
Op 28 oktober 2026 heeft WordPress een beveiligingsupdate uitgebracht die een kritieke kwetsbaarheid verhelpt waarmee een aanvaller ongeauthenticeerd remote code execution (RCE) kan uitvoeren op de webserver. Deze kwetsbaarheid trad op tijdens het uitvoeren van een Core-update waarbij de volledige WordPress-package wordt gebruikt.
De kwetsbaarheid ontstaat doordat nieuwe bestanden tijdens de update worden uitgepakt in een voorspelbare, vanaf het internet toegankelijke directory. Deze bestanden bevatten ook de WordPress-installer. Een aanvaller kan, zonder authenticatie, op het juiste moment de installer aanroepen en zo eigen code uitvoeren. Hoewel het tijdsvenster voor een succesvolle aanval zeer klein is, zijn er direct na het uitkomen van de patch al aanvallen waargenomen. Cybersecuritybedrijf Wordfence meldt dat aanvallers gedurende meer dan veertien uur continu de installer probeerden aan te roepen bij een beperkt aantal websites, in de hoop een succesvolle exploit te realiseren.
WordPress adviseert daarom dringend om zo snel mogelijk te updaten naar WordPress 7.1.4 om misbruik van deze kwetsbaarheid te voorkomen.
