Злоумышленники начали искать уязвимые сайты вскоре после выхода WordPress 7.1.4 28 октября. Ошибка состояния гонки при полном обновлении ядра временно открывает предсказуемый путь к установщику. В этот короткий промежуток атакующий без авторизации потенциально может выполнить код на сервере. Проблема затрагивает WordPress 4.7–7.1.3. Официальная оценка опасности — низкая, однако сторонние специалисты присвоили ей 8,1 и 9,0 балла CVSS. Идентификатор CVE пока отсутствует. По данным Wordfence, за первые 21 час мониторинга зафиксировано более 18 500 запросов к временным путям установщика. Первый появился через девять минут после внедрения правила защиты. Попытки эксплуатации подтверждены, успешные взломы — нет. Администраторам рекомендуют обновить WordPress и проверить подозрительные PHP-запросы в wp-content/upgrade.