据CybersecurityNews 10月31日（当地时间）报道，针对WordPress核心远程代码执行（RCE）漏洞的利用尝试在过去24小时内已超过6万次。
安全厂商Wordfence表示，其在24小时内共拦截60471次相关攻击请求。不过，这一数字仅代表攻击尝试次数，并不等同于实际被攻陷的网站数量，具体有多少独立站点成为攻击目标，目前也无法仅凭这一数据判断。
WordPress已于10月28日发布7.1.4版本，修复22项安全漏洞。除远程代码执行风险外，此次更新还修补了存储型跨站脚本（XSS）、信息泄露以及权限相关问题。
报道指出，此次攻击主要利用了升级过程中的竞态条件漏洞。WordPress在更新时会短暂生成临时安装文件，攻击者可借此诱导安装程序连接其控制的数据库，进而在服务器上执行代码。
这一可利用窗口通常只有几秒钟。为抓住临时文件短暂暴露的时机，攻击者会反复发送请求，以提高利用成功的概率。
对于仍在使用旧版本的用户，建议尽快升级至仍处于安全支持范围内的版本，如7.0.8、6.9.11；4.6及以下版本已不再提供安全更新。即便已开启自动更新，用户也应自行确认补丁是否已完成安装。
记者信息
Chi-gyu Hwang
delight@d-today.co.kr