Aanvallers vallen op grote schaal WordPress-sites aan via een kwetsbaarheid die zich voordoet tijdens het installeren van updates en ervoor zorgt dat de aanvaller admin wordt. Cybersecuritybedrijf Wordfence meldt dat het in een paar dagen tijd al meer dan 240.000 aanvalspogingen heeft waargenomen. Een update voor de kwetsbaarheid (CVE-2026-119977) is sinds 28 oktober beschikbaar.

Het probleem doet zich voor als WordPress-sites een Core-update uitvoeren, waarbij er een volledige WordPress package wordt gebruikt (full-package update). Tijdens de installatie van de update worden nieuwe bestanden naar een voorspelbare directory uitgepakt, die vanaf het internet toegankelijk is. Deze bestanden bevatten ook de WordPress-installer. Een aanvaller kan de installer aanroepen, de installatie afronden en vervolgens een admin-account aanmaken. Hiermee kan de aanvaller PHP-code naar de webserver uploaden en andere malafide acties uitvoeren.

Hoewel het tijdsvenster voor een succesvolle aanval heel klein is, lijkt dat aanvallers niet te weerhouden. Wordfence meldde op 29 oktober dat kort na het uitkomen van de patch de eerste aanvallen werden waargenomen. Die zijn sindsdien verder toegenomen, zo laat het bedrijf in een update over de kwetsbaarheid weten. Om beschermd te zijn moeten WordPress-sites updaten naar WordPress 7.1.4, waardoor er een risico op aanvallen is. Wordfence stelt dat beheerders toegang tot PHP-bestanden in de /wp-content/upgrade/ directory op het niveau van de webserver kunnen blokkeren, wat extra bescherming moet bieden.

Het Nationaal Cyber Security Centrum (NCSC) kwam met een aparte waarschuwing voor het beveiligingslek: "Als de kwetsbaarheid niet wordt opgelost, kan een aanvaller de controle over de website overnemen. Dit kan leiden tot het stelen van gegevens, het aanpassen of verwijderen van informatie, of het gebruiken van de website voor schadelijke activiteiten. Er is bevestigd dat deze kwetsbaarheid al wordt misbruikt door aanvallers."