Über eine Schwachstelle in WordPress können nicht angemeldete Angreifer lokale PHP-Dateien einbinden und unter bestimmten Voraussetzungen Code ausführen. Sie wird bereits ausgenutzt, Updates gibt es bis zurück zu Version 4.7.