Una vulnerabilidad de WordPress corregida en la versión 7.1.4 el 28 de octubre está atrayendo intentos de ejecutar código de forma remota sin una cuenta en el sitio, según los hallazgos de Defiant publicados por SecurityWeek. La explotación depende de un breve intervalo durante una actualización completa del núcleo y de varias condiciones del servidor. Wordfence no ha informado de compromisos exitosos.
WordPress 7.1.4 incluye la corrección, que también se aplicó de forma retroactiva a las ramas de versiones hasta WordPress 4.7. El informe no identifica las versiones concretas parcheadas para esas ramas antiguas. En el momento de la publicación del informe no se había asignado ningún identificador CVE.
La vulnerabilidad, de gravedad alta, afecta a los archivos temporales que se usan durante el proceso de actualización. Defiant la describe como una condición de carrera: los atacantes deben actuar mientras los archivos del instalador siguen disponibles, antes de que WordPress los elimine. En muchos servidores, el directorio donde una actualización descomprime sus archivos es accesible desde la web, y su ubicación predecible da a los atacantes un camino para sondearlo.
Esa exposición por sí sola no basta. La actualización debe usar un paquete completo que contenga los archivos del instalador, y el directorio de staging debe permitir tanto el acceso web público como la ejecución de PHP. Además, los atacantes necesitan predecir o descubrir su ubicación y terminar el ataque antes de la limpieza. La ventana dura solo unos segundos mientras WordPress descomprime la actualización completa del núcleo. Defiant califica la complejidad del ataque como alta, a pesar de que no requiere autenticación.
Según Defiant, los atacantes solicitan repetidamente las rutas relevantes para aprovechar ese intervalo. SecurityWeek citó a la empresa, que afirma que su nueva regla del cortafuegos de Wordfence registró su primera coincidencia nueve minutos después de su despliegue. Durante las primeras 21 horas, la telemetría registró más de 18.500 solicitudes dirigidas a rutas de instaladores preparados en setup-config.php. Esto documenta intentos; no establece que se haya ejecutado código con éxito.
La corrección cambia la forma en que WordPress gestiona esos archivos temporales: vuelve aleatorio el directorio de staging, añade un archivo index de protección y bloquea la promoción insegura de datos de configuración preparados. La versión 7.1.4 aborda en total 22 defectos de seguridad, entre ellos vulnerabilidades XSS, problemas en la API de Interactividad, exposición de información sin autenticación y una debilidad de autorización. También actualiza los certificados raíz incluidos para reflejar la reciente revocación de eMudhra.
