Vulnerabilità · 3 ore fa
Wordfence ha registrato oltre 18.500 richieste dirette ai percorsi temporanei di aggiornamento di WordPress nelle prime 21 ore dopo la patch del 28 ottobre: gli attaccanti cercano una finestra di pochi secondi, non soltanto un’installazione non aggiornata. Non risultano compromissioni riuscite.
Durante un aggiornamento completo del Core, WordPress scompatta per breve tempo i file dell’installer in una cartella temporanea accessibile dal web e con nome prevedibile. Un attaccante senza credenziali può interrogarla ripetutamente e tentare di raggiungere i file prima che vengano rimossi; se ci riesce, la race condition può portare a RCE. WordPress 7.1.4 corregge il problema.
Per i siti self-hosted, la versione installata non basta a descrivere l’esposizione: conta anche se il percorso temporaneo è raggiungibile dal web durante un aggiornamento completo. Le richieste documentano tentativi, non accessi riusciti.
2 fonti che coprono questa storia
WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours
Attackers target a WordPress Core RCE flaw during upgrades, with Wordfence blocking 62,969 attempts in 24 hours.
Fresh WordPress Vulnerability in Attackers’ Crosshairs
Threat actors are attempting to exploit a high-severity unauthenticated race condition leading to remote code execution.
Part of the PlainSec briefing for 2026-10-30