Beveiligingsonderzoekers melden dat aanvallers vlak na het verschijnen van patches al proberen om WordPress RCE te misbruiken. In slechts 24 uur zijn bijna 63.000 aanvalspogingen geblokkeerd tegen kwetsbare WordPress Core-versies.
De kern van het probleem is een race condition tijdens het uitpakken van een volledige Core-update. In normale testomgevingen duurt het venster maar seconden, maar kwaadwillenden lijken het geduld te hebben om dat korte moment af te tasten.
Wat is er aan de hand met WordPress RCE?
De kwetsbaarheid raakt WordPress Core-versies 4.7 tot en met 7.1.3. Er is in de berichtgeving geen CVE-identifier genoemd, maar de ernst is hoog: de flaw heeft een CVSS-score van 8.1.
Volgens Wordfence komt dit neer op een situatie waarin WordPress tijdens een volledige update tijdelijke bestanden uitpakt in een voorspelbare map onder wp-content/upgrade. Dat pad kan op veel servers web-toegankelijk zijn.
Daardoor kunnen onbevoegde aanvallers—mits ze precies op het juiste moment toeslaan—interactie krijgen met die staging-kopie. Als ze de juiste stappen op het juiste moment combineren, kan dat uitmonden in PHP-code-executie op de server.
Waarom werkt het alleen “even” tijdens de upgrade?
Het misbruik draait om een smal aanvalvenster: de periode waarin WordPress de tijdelijke bestanden uitpakt tijdens een full-package Core update. Succes vereist dat een aanvaller de server precies op dat moment benadert.
Met name gaat het om servergedrag waarbij nieuwe bestanden (inclusief de WordPress-installatie) worden gekopieerd naar de tijdelijke, voorspelbare staging-directory. Als de aanvaller in staat is om te “ranken” binnen dat moment, kan er verder worden gegaan richting uitvoering van code.
Wordfence geeft daarbij aan dat een succesvolle aanval doorgaans afhankelijk is van voorwaarden zoals:
- een full-package update met installer-bestanden
- publieke webtoegang en PHP-toegang tot de staging-tree
- een voorspelbaar of ontdekt staging-pad
- voldoende tijd om de acties af te ronden voordat WordPress de tijdelijke bestanden opruimt
Waarom zien we nu al tienduizenden pogingen?
Hoewel het venster in gecontroleerde labomgevingen naar verluidt maar seconden duurt, melden de onderzoekers dat aanvallers actief blijven proberen. Ze doen dat door kwetsbare paden herhaaldelijk op te vragen—bijvoorbeeld rond bestanden zoals setup-config.php.
Over de afgelopen 24 uur zijn volgens Wordfence 62.969 pogingen geblokkeerd die op deze kwetsbaarheid mikken. Daarbij waren vooral twee grote bronnen zichtbaar die gedurende ongeveer 14,5 uur herhaaldelijk probeerden het korte upgrade-moment te treffen.
Daarnaast testten andere bronnen varianten van staging-directory’s en versie-namen, wat wijst op snelle technische aanpassing zodra men door had hoe de race condition in de praktijk werkt.
Wat moet je nu doen? (update en controle)
Omdat de pogingen al actief gaande zijn, is het advies om zo snel mogelijk te updaten. Concreet: werk WordPress bij naar versie 7.1.4 (of nieuwer, afhankelijk van je updatepad), zodra dat beschikbaar is voor jouw omgeving.
Naast het updaten is controle belangrijk. Let daarbij in logs en toegangsregistraties op verdachte verzoeken naar PHP-bestanden onder wp-content/upgrade. Denk ook aan tekenen die wijzen op gecompromitteerde accounts of ongebruikelijke toevoegingen.
Wordfence noemt als extra aandachtspunten:
- ongebruikelijke of nieuwe administratoraccounts
- onbekende plugins
- onvertrouwde PHP-bestanden die je niet zelf hebt geïnstalleerd
Snelle praktische checks voor site-eigenaren
Als je vandaag nog tijd hebt, pak dan deze volgorde aan:
- Update direct: start het updateproces naar 7.1.4 en bevestig dat het systeem stabiel is.
- Bekijk server- en webserverlogs: focus op requests naar paden onder wp-content/upgrade.
- Controleer gebruikers en extensies: scan voor nieuwe adminaccounts en plugin-wijzigingen.
- Check bestanden: zoek naar onverwachte PHP-bestanden in of rond upgrade- en installatiepaden.
Wil je dit breder benaderen vanuit patch- en remediatie-aanpak? Lees dan ook ons artikel over veilige security-remediatie met Observe, Prove, Act.
Vergelijkbaar patroon: race condition als aanvalsmotor
Deze case laat zien hoe aanvallers misbruik kunnen maken van de timing binnen webapplicaties. Waar veel kwetsbaarheden draaien om een fout in invoer of autorisatie, draait WordPress RCE hier om een tijdsvenster tijdens het verwerken van een update.
Dat betekent dat je niet alleen “patch en klaar” moet denken: ook al is de kwetsbaarheid verholpen, aanvallers kunnen in de periode vóór de update al pogingen hebben gedaan. Daarom blijft logcontrole en integriteitscheck van belang.
Voor extra context over hoe snel issues in WordPress-updateketens kunnen escaleren, is ons stuk over een WordPress update-lek met RCE en raceconditie een nuttige aanvulling.
Conclusie
De meldingen rond WordPress RCE zijn alarmerend: bijna 63.000 geblokkeerde pogingen binnen 24 uur laten zien dat aanvallers het kwetsbare patroon begrijpen en actief proberen te benutten.
De oplossing is helder: update WordPress zo snel mogelijk naar 7.1.4 en controleer bovendien logs en bestanden op verdachte requests en sporen onder wp-content/upgrade. Met die combinatie verklein je de kans dat een korte upgrade-window een doorbraak wordt.
Bron: https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
