# Aproape 63.000 de tentative de atac asupra unei breșe RCE din WordPress în 24 de ore

URL: https://cyberjurnal.ro/articol/aproape-63-000-de-tentative-de-atac-asupra-unei-brese-rce-din-wordpress-in-24-de
Autor: Oprican Marius Edward
Publicat: 2026-10-30T17:40:38.479Z
Actualizat: 2026-10-30T17:40:38.494Z

La scurt timp după publicarea unui patch, atacatorii au început să exploateze o vulnerabilitate severă din WordPress Core, care poate permite execuția de cod fără autentificare într-o fereastră de actualizare de doar câteva secunde. Wordfence a blocat 62.969 de atacuri într-o singură zi.

Atacatorii au început să vizeze o vulnerabilitate severă de execuție de cod de la distanță (RCE) din WordPress Core la scurt timp după publicarea remedierii, pe 28 octombrie 2026. În ultimele 24 de ore, Wordfence a blocat 62.969 de tentative, într-o campanie care profită de intervalul scurt în care un site își instalează o actualizare completă.

### O fereastră de câteva secunde în timpul actualizării

Vulnerabilitatea nu are identificator CVE și afectează versiunile WordPress Core de la 4.7 până la 7.1.3. A primit scorul 8,1 pe scala CVSS; exploatarea nu cere autentificare, dar depinde de sincronizarea atacului cu instalarea actualizării.

Potrivit Wordfence, problema pornește de la directoarele de pregătire cu căi previzibile, accesibile prin web, folosite la actualizările complete ale nucleului WordPress. Fișierele noii versiuni sunt despachetate în `wp-content/upgrade`, iar copia temporară include și programul de instalare WordPress.

„Un atacator neautentificat poate executa cod pe server în timpul ferestrei de actualizare”, a transmis compania de securitate. Alex Thomas, care conduce echipa Wordfence Threat Response, a explicat că accesarea fișierului de instalare la momentul potrivit poate permite interacțiunea cu copia pregătită și, în cele din urmă, execuția de cod PHP.

![O fereastră de câteva secunde în timpul actualizării
Vulnerabilitatea nu are identificator CVE și afectează versiunile WordPress Core de la 4.7 până la 7.1.3. A primit scorul 8,1 pe scala CVSS; exploatarea nu cere autentificare, dar depinde de sincronizarea atacului cu instalarea actualizării.
Potrivit Wordfence, problema pornește de la directoarele de pregătire cu căi previzibile, accesibile prin web, folosite la actualizările complete ale nucleului WordPress. Fișierele noii versiuni sunt despachetate în wp-content/upgrade, iar copia temporară include și programul de instalare WordPress.
„Un atacator neautentificat poate executa cod pe server în timpul ferestrei de actualizare”, a transmis compania de securitate. Alex Thomas, care conduce echipa Wordfence Threat Response, a explicat că accesarea fișierului de instalare la momentul potrivit poate permite interacțiunea cu copia pregătită și, în cele din urmă, execuția de cod PHP.](/uploads/2026/10/c20b292e3e31b39d83b7b794.png "Ilustrație generată cu AI")*Sursă foto: AI*

### Atacatorii sondează căile temporare

Pentru ca atacul să reușească, trebuie să existe o actualizare completă care conține fișierele de instalare, iar directorul temporar trebuie să fie accesibil public prin web și PHP. Atacatorul trebuie, de asemenea, să cunoască sau să descopere calea previzibilă și să termine operațiunea înainte ca WordPress să șteargă fișierele temporare.

În testele de laborator, intervalul vulnerabil a durat doar câteva secunde. Cu toate acestea, atacatorii au interogat repetat căi vulnerabile, inclusiv `setup-config.php`, încercând să nimerească fereastra; două dintre cele mai mari surse au sondat grupuri mici de site-uri timp de aproximativ 14,5 ore.

Thomas a descris comportamentul drept compatibil cu încercarea de a surprinde momentul scurt al actualizării. Alte surse au testat variații ale directoarelor de pregătire și ale numelor versiunilor, iar unele cereri nu au folosit calea vulnerabilă exactă.

### Actualizarea la 7.1.4 este prioritatea imediată

Wordfence spune că sondarea susținută și testele care reproduceau structura exactă a directoarelor arată că atacatorii au înțeles rapid natura vulnerabilității de tip condiție de cursă și au început să o vizeze. Numărul de tentative blocate nu înseamnă că fiecare cerere a dus la compromiterea unui site, însă exploatarea activă face ca actualizarea să nu poată fi amânată.

Administratorii sunt îndemnați să instaleze cât mai repede WordPress 7.1.4 și să caute cereri suspecte către fișiere PHP aflate sub `wp-content/upgrade`. Verificările ar trebui să includă și conturi de administrator necunoscute, pluginuri neautorizate sau fișiere PHP care nu aparțin instalării legitime.

Sursă: The Hacker News — https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html