CISA повідомила про активну експлуатацію вразливості WordPress
CISA підтвердило активну експлуатацію вразливості CVE-2026-119977 у WordPress і закликало встановити оновлення.
Агентство з кібербезпеки та безпеки інфраструктури США (CISA) повідомило, що зловмисники почали активно використовувати нещодавно виправлену вразливість високої небезпеки в WordPress. Проблему внесли до каталогу Known Exploited Vulnerabilities, який містить уразливості, що вже експлуатуються в атаках.
Як повідомляє BleepingComputer, вразливість має ідентифікатор CVE-2026-119977. Вона пов’язана зі станом змагання типу Time-of-check Time-of-use у процесі оновлення WordPress і за певних складних умов може дозволити віддаленому нападнику без привілеїв виконати код на сервері.
Оновлення WordPress
Проблема виникає через передбачувані та доступні через веб шляхи тимчасового розміщення файлів під час повного оновлення ядра системи. Команда безпеки WordPress 28 жовтня випустила версію WordPress 7.1.4 із виправленням та рекомендувала власникам сайтів негайно оновити свої інсталяції.
CISA підтвердило активну експлуатацію CVE-2026-119977 у вівторок. Агентство зобов’язало федеральні цивільні виконавчі органи США захистити свої системи до п’ятниці відповідно до обов’язкової операційної директиви BOD 26-04. Водночас CISA закликало пріоритезувати встановлення виправлення всіх адміністраторів мереж, зокрема у приватному секторі.
Зафіксовані спроби атак
Подробиць про конкретні випадки використання цієї вразливості CISA не оприлюднило. Водночас компанія Wordfence, що спеціалізується на безпеці WordPress, у оновленні свого повідомлення зазначила, що за попередні 24 години заблокувала 13 095 атак, націлених на CVE-2026-119977.
У липні команда WordPress також усунула ланцюжок критичних уразливостей ядра, відомий як wp2shell. Його могли використати для розгортання вебшелів і захоплення серверів без оновлень через плутанину маршрутів пакетних запитів REST API (CVE-2026-63030) та SQL-ін’єкцію (CVE-2026-60137). Публічні експлойти для цього ланцюжка з’явилися наступного дня після випуску виправлень, а згодом зловмисники почали встановлювати на вразливі сервери вебшели та шкідливі плагіни.
