# Wordfence notuje próby ataków na błąd w aktualizacji WordPressa, poprawkę zawiera wersja 7.1.4 Podatność w procesie aktualizacji WordPress Core od 4.7 do 7.1.3 pozwala bez logowania wykonać kod na serwerze, ale tylko w krótkim oknie podczas instalacji pełnego pakietu. Wordfence ocenia ją na 8.1 w skali CVSS i nie informuje o udanych włamaniach. - Adres: - Rodzaj: Streszczenie - Data publikacji: 30.10.2026 - Kategoria: [Aktualności](https://pelnomocnikcyber.pl/kategorie/aktualnosci/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [Wordfence](https://www.wordfence.com/blog/2026/10/wordpress-7-1-4-security-release-rce/) (29 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) WordPress wydał 28 października 2026 r. wersję **7.1.4** z poprawkami 22 podatności. Najpoważniejsza z nich to wyścig podczas aktualizacji rdzenia, który może prowadzić do zdalnego wykonania kodu. Wordfence ocenia ją na 8.1 w skali CVSS i podaje, że dotyczy wersji od 4.7 do 7.1.3, a atak nie wymaga konta w serwisie. Według Brandefense 30 października błąd nie miał numeru CVE i nie było go w katalogu KEV. Przy aktualizacji z pełnego pakietu podatne wersje rozpakowują pliki do przewidywalnego katalogu pod `wp-content/upgrade`, a ta kopia zawiera instalator. Na wielu serwerach katalog jest dostępny z sieci, więc żądanie do instalatora wysłane w odpowiednim momencie może doprowadzić do wykonania kodu PHP. Wordfence uznaje atak za trudny: w testach katalog istniał zwykle zaledwie przez sekundy. Wersja 7.1.4 losuje nazwę katalogu, dodaje zabezpieczenie indeksu i blokuje niebezpieczne przenoszenie konfiguracji z tymczasowej kopii. Pierwsze żądanie pasujące do nowej reguły zapory Wordfence przyszło dziewięć minut po jej wdrożeniu 28 października, a w ciągu 21 godzin firma naliczyła ponad 18 500 żądań do ścieżek z `setup-config.php`, choć nie wszystkie używały dokładnie podatnej ścieżki. Dwa największe źródła przez około 14,5 godziny odpytywały małe grupy stron. Techaeris, powołując się na Wordfence, podaje 62 969 zablokowanych prób w pierwszej dobie po wydaniu poprawki, ale wpis firmy w wersji z 30 października tej liczby nie zawiera. Autor wpisu, Alex Thomas, napisał w komentarzu pod nim, że ruch był stosunkowo niewielki wobec liczby klientów firmy i skupiony. SecurityWeek zaznacza, że Wordfence nie informuje o udanych włamaniach. Dotyczy to każdej organizacji ze stroną na WordPressie, także urzędu czy spółki komunalnej. Sprawdź w panelu administracyjnym, czy działa wersja 7.1.4 albo poprawione wydanie Twojej gałęzi, na przykład 7.0.8, 6.9.11, 6.8.12, a dla najstarszej 4.7.39. Wordfence radzi nie zakładać, że automatyczna aktualizacja się udała. Wersje 4.6 i starsze poprawek już nie dostają. Jeśli strona pozostała bez poprawki, przejrzyj logi pod kątem żądań do plików PHP w `wp-content/upgrade` i poszukaj nieznanych kont administratorów, wtyczek oraz plików PHP. Kto zarządza serwerem, może przed aktualizacją czasowo zablokować dostęp HTTP do `/wp-content/upgrade/`. Thomas zgodził się z tą radą czytelnika, ale nie zaleca przez nią odkładać aktualizacji. Użytkownicy darmowej wersji Wordfence dostaną regułę zapory 27 listopada 2026 r. ## Źródła - [Wordfence: WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE; Exploitation Attempts Detected After Release](https://www.wordfence.com/blog/2026/10/wordpress-7-1-4-security-release-rce/) - [WordPress.org: WordPress 7.1.4](https://wordpress.org/news/2026/10/wordpress-7-1-4/) - [WordPress.org: Version 7.1.4](https://wordpress.org/support/wordpress-version/version-7-1-4/) - [SecurityWeek: Fresh WordPress Vulnerability in Attackers' Crosshairs](https://www.securityweek.com/fresh-wordpress-vulnerability-in-attackers-crosshairs/) - [Techaeris: WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in 24 Hours](https://techaeris.com/2026/10/30/wordpress-rce-flaw-nearly-63000-attacks/) - [Brandefense: WordPress 7.1.4 Security Update: What Site Owners Should Check](https://brandefense.io/security-news/wordpress-7-1-4-security-update-upgrade-window/) ## Pojęcia w tym tekście - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. - [CVE](https://pelnomocnikcyber.pl/slownik/cve/): Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. - [Katalog KEV](https://pelnomocnikcyber.pl/slownik/katalog-kev/): Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności. - [Zapora sieciowa](https://pelnomocnikcyber.pl/slownik/zapora-sieciowa/): Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 30 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.