Nach Darstellung der CISA erlaubt die Schwachstelle nicht authentifizierten Angreifern, während des Aktualisierungsfensters Code auf dem Server auszuführen. Ursache seien vorhersagbare, über das Web erreichbare Staging-Pfade, die bei vollständigen Core-Updates des Gesamtpakets genutzt werden.
Details waren vergangene Woche öffentlich geworden. Wordfence erklärte, für einen Angriff sei kein Konto auf der betroffenen Website nötig; Angreifer müssten jedoch ein kurzes Zeitfenster während eines vollständigen Core-Updates treffen, in dem unauthentifizierte Codeausführung möglich ist.
In den ersten 21 Stunden nach der öffentlichen Offenlegung registrierte das auf WordPress spezialisierte Sicherheitsunternehmen nach eigenen Angaben mehr als 18.500 Anfragen, die auf die bereitgestellten Installer-Pfade „setup-config.php" zielten. Zuletzt wurden innerhalb von 24 Stunden 12.632 Angriffsversuche auf die Lücke blockiert.
Telemetriedaten von Previdian zeigen drei Ausnutzungsversuche gegen die eigenen Honeypot-Sensoren, ausgehend von einer IP-Adresse, die dem Vereinigten Königreich zugeordnet wird. Die Ereignisse wurden am 30. Oktober 2026 beobachtet.
Mit der offiziellen Bestätigung der Ausnutzung durch die CISA müssen Behörden der US-Bundeszivilverwaltung (Federal Civilian Executive Branch, FCEB) die Korrekturen bis zum 6. November 2026 einspielen.