Ngày 28/10/2026, WordPress phát hành 7.1.4 — bản vá bảo mật mà WordPress khuyến nghị cài ngay. Lỗi nghiêm trọng nhất nằm trong quy trình cập nhật lõi: trong lúc cập nhật, kẻ tấn công có thể thực thi mã từ xa. Lỗi do nhà nghiên cứu Umut Bayram báo cáo. Theo Wordfence, lỗi ảnh hưởng WordPress 4.7 đến 7.1.3, điểm CVSS 8.1; hiện chưa có mã CVE.
Cơ chế: khi cập nhật lõi bằng gói đầy đủ, các bản bị ảnh hưởng giải nén file mới vào một thư mục có tên dễ đoán trong wp-content/upgrade/, kèm cả trình cài đặt WordPress. Theo Patchstack, kẻ tấn công không cần tài khoản, chỉ cần gọi đúng trình cài đặt này trong vài giây nó tồn tại là có thể chạy nó với cơ sở dữ liệu do chúng kiểm soát. Khe hở này xuất hiện ở mọi lần cập nhật lõi, kể cả cập nhật tự động. Bản 7.1.4 đặt tên thư mục ngẫu nhiên, giữ file index.php chặn liệt kê thư mục và — theo Patchstack — không còn sao chép wp-config.php ra khỏi thư mục tạm.
Tin tặc đã ra tay. Wordfence triển khai luật tường lửa khoảng ba giờ sau khi bản vá ra mắt, và chỉ chín phút sau đã ghi nhận lượt tấn công đầu tiên. SecurityWeek cho biết có hơn 18.500 yêu cầu nhắm vào đường dẫn trình cài đặt trong 21 giờ đầu; Techaeris cho biết Wordfence đã chặn 62.969 lượt trong 24 giờ. Wordfence chưa báo cáo vụ xâm nhập thành công nào. Patchstack đánh giá lỗi khó khai thác trong thực tế vì khe thời gian quá ngắn.
Tổng cộng 7.1.4 vá 22 lỗ hổng (Patchstack dẫn số liệu của WordPress), trong đó có nhiều lỗi XSS lưu trữ, đồng thời cập nhật chứng chỉ gốc đi kèm sau vụ thu hồi eMudhra. Bản vá được đưa về mọi nhánh tới 4.7 (ví dụ 7.0.8, 6.9.11, 4.7.39). Website chạy 4.6 trở về trước không được vá.
