Le bilan 2025 de Patchstack donne 6 failles dans le cœur de WordPress, toutes de faible gravité, contre 11 334 dans les extensions et les thèmes, dont 46 % publiées sans correctif disponible. Leur médiane pondérée avant la première tentative d’exploitation est de cinq heures, mesurée entre le déploiement de leur propre règle de protection et la première attaque observée.

L’article en tire la conséquence pratique : les mises à jour automatiques de WordPress passent deux fois par jour, et WP-Cron attend une visite pour se déclencher, donc la fenêtre réelle est plus large que douze heures sur un site peu fréquenté.