WordPress.org heeft besloten om een beveiligingsupdate voor de Jetpack-plug-in wegens een kritieke kwetsbaarheid op vijf miljoen websites te installeren. Jetpack is een door Automattic ontwikkelde plug-in voor het maken en terugzetten van back-ups, blokkeren van spam, scannen op malware, monitoren van up- en downtime, beschermen tegen bruteforce-aanvallen en het inschakelen van tweefactorauthenticatie.

Via de kwetsbaarheid, die al sinds 2012 in de code van de plug-in aanwezig is, kan een aanvaller elk bestand van een WordPress-installatie aanpassen. Automattic is ook het bedrijf achter WordPress.com, waar tegen betaling WordPress-sites zijn te hosten. WordPress.org is de organisatie achter de opensourceversie van WordPress, het gelijknamige contentplatform dat volgens W3Techs voor 43,1 procent van alle websites op internet wordt gebruikt.

Automattic heeft in overleg met het WordPress.org Security Team besloten om de update voor de kwetsbaarheid in Jetpack automatisch uit te rollen. De plug-in is op meer dan vijf miljoen websites geinstalleerd. Inmiddels hebben meer dan 4,3 miljoen websites de update ook ontvangen, zo blijkt uit cijfers van WordPress.org. Automattic zegt dat het niet bekend is met misbruik van het beveiligingslek, maar stelt dat nu de patch is verschenen aanvallen kunnen gaan plaatsvinden.

WordPress.org heeft sinds WordPress versie 3.7 de mogelijkheid om beveiligingsupdates voor plug-ins geforceerd te installeren. In 2021 werd op deze manier ook al een update voor Jetpack uitgerold. Eerder stelde een ontwikkelaar van het WordPress Team dat het geforceerd installeren van updates al meerdere keren wegens kwetsbaarheden was toegepast. Iets wat in het verleden voor kritiek van gebruikers zorgde, die het automatisch updaten van hun plug-ins niet hadden ingeschakeld.