Новости WordPress
CISA добавила WordPress Core CVE-2026-119977 в каталог KEV после подтверждения активной эксплуатации
CISA подтвердила активную эксплуатацию уязвимости WordPress Core CVE-2026-119977 и добавила ее в каталог KEV 3 ноября 2026 года.
3 ноября 2026 года CISA внесла уязвимость WordPress Core CVE-2026-119977 в каталог Known Exploited Vulnerabilities. Причина — подтвержденные случаи активной эксплуатации в сети. Федеральные органы США получили срок до 6 ноября на устранение.
Технические детали уязвимости WordPress Core CVE-2026-119977
Уязвимость затрагивает версии WordPress с 4.7 по 7.1.3. Показатель CVSS составляет 8.1. Проблема относится к классу CWE-367 и представляет собой состояние гонки TOCTOU при обновлении ядра. Во время полной установки пакета обновления создаются временные файлы в директории wp-content/upgrade/, к которым возможен удаленный доступ.
Атакующие могут использовать узкое временное окно, пока установщик доступен через веб. Это позволяет выполнить произвольный код без аутентификации. WordPress 7.1.4 и соответствующие бэкпорты для веток 7.0, 6.9, 6.8 и ниже закрывают проблему. Версии 4.6 и старше исправлений не получили из-за окончания поддержки.
Wordfence зафиксировала более 18 500 запросов к уязвимым путям в первые 21 час после публикации патча 28 октября. В последующие сутки количество попыток достигало 63–75 тысяч. Зондирование началось примерно за два дня до выхода обновления.
Хронология событий и позиция регуляторов
Уязвимость обнаружил исследователь Umut Bayram. Патч вышел 28 октября 2026 года. CVE зарезервировали 30 октября, а Wordfence опубликовала детали 31 октября. CISA добавила запись в KEV 3 ноября. На следующий день NCSC-NL опубликовала собственное предупреждение.
В каталоге KEV указано, что использование в программах-вымогателях не подтверждено. CISA обязала федеральные агентства провести форензику и применить исправления в соответствии с директивой BOD 26-04. Российские издания NetAngels, Habr и Xakep.ru также сообщили о глобальных автоматических атаках и рекомендовали обновиться.
Эксплуатация продолжается через публичные репозитории с кодом на GitHub. Администраторам следует проверять логи доступа к путям wp-content/upgrade/ в периоды обновлений и контролировать появление несанкционированных файлов.
Частые вопросы
Какие версии WordPress затронуты CVE-2026-119977?
Уязвимость присутствует в ветках с 4.7 по 7.1.3 включительно. Исправления доступны в версии 7.1.4 и бэкпортах для поддерживаемых веток.
Когда CISA добавила CVE-2026-119977 в каталог KEV?
Запись появилась 3 ноября 2026 года. Федеральные агентства США должны были устранить проблему до 6 ноября.
Как выглядит эксплуатация уязвимости WordPress Core?
Атакующие используют временные файлы в wp-content/upgrade/ во время установки обновления ядра. Это позволяет выполнить код без аутентификации.
Есть ли подтвержденные случаи использования в ransomware?
В каталоге KEV поле known ransomware use отмечено как Unknown. Конкретные кампании публично не подтверждены.
Комментарии
Комментариев пока нет. Будьте первым!