WordPress publicó el 28 de octubre la versión 7.1.4 para corregir 22 vulnerabilidades, entre ellas una falla que podía permitir la ejecución de código malicioso durante el proceso de actualización. Wordfence, por su parte, reportó intentos de explotación contra ese fallo.

La falla afectaba una ruta temporal durante la actualización

Según la advertencia, la vulnerabilidad surgía de una ruta predecible que quedaba accesible desde internet mientras se actualizaba el núcleo. Un atacante sin autenticación podía intentar aprovechar ese intervalo para inyectar y ejecutar código, aunque debía hacerlo antes de que las rutinas de limpieza eliminaran los archivos temporales.

La alerta también indicó que el riesgo dependía de una ventana breve durante la instalación. En pruebas de laboratorio, investigadores observaron que el directorio de preparación permanecía accesible apenas unos segundos.

Wordfence reportó más de 18.500 solicitudes en 21 horas

Wordfence informó que, durante las primeras 21 horas de una regla de firewall creada para detectar el problema, sus sistemas registraron más de 18.500 solicitudes dirigidas a rutas vulnerables de setup-config.php. La firma describió ese volumen como evidencia de intentos de búsqueda de instalaciones susceptibles.

También señaló que dos fuentes consultaron repetidamente grupos pequeños de sitios durante unas 14,5 horas, mientras otras cambiaron las rutas de preparación y los nombres de las versiones solicitadas. El reporte no atribuyó esas solicitudes a actores identificados ni precisó cuántas llegaron a tener éxito.

Las ramas anteriores también recibieron correcciones

WordPress dijo que la actualización principal llegó junto con parches retroportados para ramas anteriores del sistema. La lista divulgada incluye las versiones 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8 y 7.1.4.

La recomendación para administradores fue actualizar de inmediato y revisar posibles señales de intrusión. Entre esas señales figuran archivos PHP inesperados en wp-content/upgrade, cuentas de administrador desconocidas y complementos o archivos que el equipo responsable no haya instalado.

Wordfence añadió que la publicación de un parche no sustituye la verificación de que la actualización se aplicó ni la búsqueda de indicios de acceso no autorizado en los registros del sitio.