WordPress Core CVE-2026-119977: CISA внесла уязвимость в каталог KEV из-за активной эксплуатации

CISA 3 ноября 2026 года добавила уязвимость WordPress Core CVE-2026-119977 в каталог Known Exploited Vulnerabilities. Агентство указало на подтвержденную активную эксплуатацию в реальных условиях. Уязвимость затрагивает версии WordPress с 4.7.0 по 7.1.3 и позволяет удаленное выполнение кода без аутентификации.

Технические детали уязвимости WordPress Core CVE-2026-119977

Уязвимость относится к классу CWE-367 и представляет собой состояние гонки TOCTOU во время обновления ядра WordPress. Атака возможна только в узком временном окне при использовании полного пакета обновления через предсказуемые пути в каталоге wp-content/upgrade/. Оценка CVSS 8.1 указывает на высокий уровень риска при сетевом доступе без привилегий.

WordPress устранил проблему в версии 7.1.4, выпущенной 28 октября 2026 года. Исправления также доступны для всех поддерживаемых веток, включая 7.0.8, 6.9.11 и 4.7.39. Разработчики WordPress оценили серьезность ниже, чем внешние системы оценки.

Попытки эксплуатации начались вскоре после публикации CVE. Wordfence зафиксировала более 240 тысяч попыток сканирования и опроса путей обновления, с пиком до 74 тысяч запросов в сутки. Успешных компрометаций публично не подтверждено.

Требования CISA и контекст для российских пользователей

CISA установила срок устранения уязвимости до 6 ноября 2026 года для федеральных агентств США. Запись в каталоге KEV требует проведения криминалистического анализа и отмечает неизвестный статус использования в ransomware-атаках. Российские хостинг-провайдеры и специализированные ресурсы уже опубликовали рекомендации по немедленному обновлению.

Уязвимость затрагивает сайты, которые используют стандартный механизм обновления ядра через веб-интерфейс. В России WordPress остается одной из самых распространенных CMS, поэтому администраторы сайтов на платформе должны проверить актуальность версии и историю обновлений за последние недели.

Поставщики услуг хостинга в России публикуют инструкции по временному ограничению доступа к каталогу wp-content/upgrade/ во время обновлений. Анализ логов на наличие запросов к setup-config.php и неизвестным файлам в папке обновления помогает выявить признаки попыток эксплуатации.

Дальнейшие шаги по устранению риска

Администраторам рекомендуется обновить WordPress до последней версии соответствующей ветки как можно скорее. Дополнительно стоит настроить правила веб-сервера, ограничивающие прямой доступ к файлам в каталоге обновлений. Регулярный мониторинг логов и применение автоматизированных сканеров уязвимостей снижают вероятность успешной атаки.

Российские компании, использующие WordPress для коммерческих и государственных проектов, должны включить проверку этой CVE в процедуры реагирования на инциденты. Отсутствие публичных подтвержденных взломов не исключает наличия целевых атак, направленных на конкретные сайты.