Американската агенция CISA потвърди, че нападатели експлоатират активно наскоро отстранена уязвимост с висока степен на сериозност в WordPress Core. Проблемът CVE-2026-119977 може да позволи отдалечено изпълнение на код на сървъра без предварителна автентикация. Администраторите трябва незабавно да инсталират актуализациите.
Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) предупреди федералните ведомства за атаки срещу системи, използващи уязвими версии на WordPress.
Проблемът, проследяван като CVE-2026-119977, произтича от състезателно състояние тип Time-of-check Time-of-use (TOCTOU) в процеса на обновяване на WordPress Core. Уязвимостта е докладвана от изследователя Умут Байрам от Picus Security.
При успешно експлоатиране отдалечен нападател без привилегии може да изпълни код на сървъра. Атаката е с висока сложност и използва предвидими пътища за временно съхранение на файлове, достъпни през уеб, по време на пълно обновяване на основните компоненти на WordPress.
WordPress вече е публикувал корекция
Екипът по сигурността на WordPress е отстранил проблема с версия 7.1.4, публикувана на 28 октомври 2026 г. В съобщението за изданието разработчиците описват уязвимостта като слабост в процеса на обновяване, която може да доведе до отдалечено изпълнение на код в периода на актуализацията.
Тъй като става дума за издание, свързано със сигурността, WordPress препоръчва незабавно обновяване на сайтовете.
На 3 ноември CISA потвърди активната експлоатация и добави CVE-2026-119977 към каталога си Known Exploited Vulnerabilities (KEV). Федералните граждански изпълнителни агенции на САЩ трябва да отстранят уязвимостта до определения от агенцията срок – 6 ноември, съгласно задължителната директива BOD 26-04.
CISA предупреждава, че подобни уязвимости са често използван входен вектор за злонамерени участници и представляват значителен риск за федералните информационни системи.
Макар директивата да е задължителна само за американските федерални агенции, CISA призовава и частния сектор, както и всички мрежови защитници, да дадат приоритет на инсталирането на корекцията.
Wordfence отчита хиляди опити за атака
CISA не разкри подробности за извършителите или конкретните атаки. Междувременно компанията за сигурност Wordfence съобщи в актуализация на своя анализ, че е блокирала 13 095 опита за атака, насочени към уязвимостта, в рамките на 24 часа.
Това показва, че проблемът вече се използва активно и че уязвимите сайтове са изложени на непосредствен риск. Не е ясно дали всички блокирани опити са били част от една кампания или са извършени от различни участници.
Предишни атаки срещу WordPress Core
Новият случай идва след друга сериозна уязвимост в WordPress Core, отстранена през юли 2026 г. Веригата wp2shell комбинира проблем в REST API batch маршрутизацията – CVE-2026-63030 – и SQL инжекция, проследявана като CVE-2026-60137.
Уязвимостите са позволявали на нападатели да внедряват webshells и да поемат контрол над неактуализирани сървъри. Публични експлойти са били публикувани само ден след излизането на корекциите, а атаки срещу уязвими системи са започнали няколко дни по-късно.
През септември китайскоезичен заплашителен актьор е използвал веригата wp2shell за кражба на чувствителни данни от над 18 500 записа в бази данни на малки предприятия и държавни организации.
Какво трябва да направят администраторите
Собствениците и администраторите на WordPress сайтове трябва да:
- обновят WordPress до версия 7.1.4 или по-нова, съдържаща корекцията;
- проверят дали обновяването е завършило успешно;
- прегледат сървърните дневници за подозрителна активност в периода на обновяване;
- проверят за неочаквани файлове, webshells и злонамерени плъгини;
- при съмнение за компрометиране сменят административните идентификационни данни и проверят целостта на сайта.
Уязвимостта подчертава риска, който може да възникне дори в процеси, предназначени да подобряват сигурността – като обновяването на софтуера. При активно експлоатиран проблем забавянето на корекцията увеличава вероятността легитимният уебсайт да бъде използван за първоначален достъп, разпространение на зловреден код или кражба на данни.
