先週修正されたWordPressの2つの重大な脆弱性が、既に攻撃者によって悪用されている。セキュリティ企業Patchstack、Hexastrike、WatchTowrは、これらの脆弱性が既に実際の攻撃に使用されていることを確認した。これらの脆弱性は、対象バージョン（6.9.0-6.9.4および7.0.0-7.0.1）でリモートからの完全なシステム制御を可能にする。

WordPressの公式データによれば、4億以上のサイトがこれらのバージョンを使用しているが、大多数は自動更新によって保護された。セキュリティ専門家Daniel Cardによる4,200サイトのサンプリング調査では、脆弱なサイトは15％未満にとどまった。この割合を基に計算すると、約9,000万サイトが依然としてリスクにさらされている。

AutomatticおよびWordPress.orgは、この事象についてコメントしていない。セキュリティ専門家は、WordPressの強制更新、Cloudflareの攻撃阻止対策、ウェブファイアウォールの効果を強調した。脆弱性の一つは、Searchlight CyberのAdam Kuesによって発見され、WP2Shellと名付けられた。