Sucuri חשפה ב-30 בספטמבר את SC, דלת אחורית לאתרי WordPress שמתפזרת על פני קבצים, מסד הנתונים והזיכרון. מוחקים רכיב אחד, והאחרים משחזרים אותו. כך מנקים אותה בסדר הנכון.
לכתבה המלאהWordPress 7.1.1, שיצאה ב-17 בספטמבר, סגרה 11 חולשות. אחת מהן, Click2Shell, אפשרה לגרום למנהל מחובר להתקין תבנית בלי לדעת, ובשילוב עם תבנית פגיעה להריץ קוד PHP על השרת.
ב-14 בספטמבר הזריק תוקף קוד זדוני לסקריפטים של Brevo שמוטמעים ביותר מ-100 אלף אתרים, לפי Sansec. גולשים קיבלו מסך ClickFix, ומנהלי WordPress מחוברים היו בסכנה להתקנת דלת אחורית.
החברה שמאחורי WordPress.com ו-WooCommerce הודיעה ב-9 בספטמבר שהמייסד והמנכ״ל יוצא לחופשה ושסמנכ״ל הכספים מחליף אותו. כעבור פחות משלושה ימים אישרה ש-Mullenweg שוב בתפקיד, בלי להסביר מה קרה.
