WordPress-sites die gebruikmaken van het Onetone-theme zijn het doelwit van aanvallen waarbij aanvallers de website volledig overnemen en een beveiligingsupdate voor de kwetsbaarheid zal niet verschijnen. Onetone is een gratis WordPress-theme dat niet meer door de ontwikkelaars wordt onderhouden. Aanvallers maken gebruik van een kwetsbaarheid in het theme waardoor ze kwaadaardige JavaScript-code aan de WordPress-site kunnen toevoegen.

Deze code stuurt bezoekers door naar malafide websites en steelt de sessie van ingelogde beheerders. Vervolgens wordt er door de aanvallers een nieuwe beheerder aangemaakt. Deze beheerder kan later via het WordPress-dashboard aanvullende backdoors installeren, zoals een PHP-shell. Op deze manier blijven de aanvallers toegang tot de WordPress-site behouden, ook al wordt de kwaadaardige JavaScript-code verwijderd, zo meldt securitybedrijf Sucuri.

Volgens NinTechNet is het Onetone-theme op meer dan 20.000 WordPress-sites geïnstalleerd. De kwetsbaarheid werd op 11 september aan WordPress gerapporteerd en op 10 oktober werd het Onetone-theme van WordPress.org verwijderd. Aangezien de kwetsbaarheid niet wordt gepatcht krijgen webmasters het advies om het theme te verwijderen.