Агентство по кибербезопасности и защите инфраструктуры США (CISA) Для просмотра ссылки Войди или Зарегистрируйся, что злоумышленники атакуют уязвимость Для просмотра ссылки Войди или Зарегистрируйся в ядре WordPress. Баг позволяет выполнить код без аутентификации во время обновления движка, и специалисты Wordfence пишут, что всего за сутки заблокировали почти 63 000 попыток эксплуатации.
Уязвимость CVE-2026-119977 получила 8,1 балла по шкале CVSS и затрагивает WordPress Core с 4.7 по 7.1.3. Проблему обнаружил исследователь компании Picus Security, и исправление для нее вошло в состав версии Для просмотра ссылки Войдиили Зарегистрируйся, выпущенной 28 октября 2026 года.
В основе CVE-2026-119977 лежит состояние гонки типа Time-of-check Time-of-use (TOCTOU). Дело в том, что во время полного обновления WordPress распаковывает новую версию в предсказуемую директорию внутри wp-content/upgrade, куда также попадают файлы установщика. Проблема заключается в том, что на многих серверах временный каталог доступен из интернета.
В результате, если атакующий успеет обратиться к setup-config.php в короткий промежуток времени, пока WordPress еще не удалил временные файлы, он сможет взаимодействовать с установщиком и добиться выполнения PHP-кода на сервере.
По данным специалистов Для просмотра ссылки Войдиили Зарегистрируйся, обычно этот период длится всего несколько секунд, поэтому эксплуатация уязвимости требует точного расчета. Но злоумышленники обходят это ограничение, постоянно отправляя запросы к предполагаемым путям размещения временных файло. Исследователи пишут, что всего через 21 час после раскрытия информации о баге они зафиксировали более 18 500 запросов к setup-config.php во временных каталогах. Позже всего за одни сутки было заблокировано 62 969 попыток эксплуатации CVE-2026-119977.
3 ноября 2026 года CISA внесло баг в каталог известных эксплуатируемых уязвимостей (KEV) и обязало федеральные ведомства США установить исправления до 6 ноября.
Администраторам WordPress рекомендуется как можно скорее обновиться до версии 7.1.4 и проверить логи на подозрительные обращения к PHP-файлам в wp-content/upgrade. Также стоит искать подозрительные учетные записи администраторов, плагины и PHP-файлы, которые могли появиться после компрометации сайта.
Для просмотра ссылки Войдиили Зарегистрируйся
Уязвимость CVE-2026-119977 получила 8,1 балла по шкале CVSS и затрагивает WordPress Core с 4.7 по 7.1.3. Проблему обнаружил исследователь компании Picus Security, и исправление для нее вошло в состав версии Для просмотра ссылки Войди
В основе CVE-2026-119977 лежит состояние гонки типа Time-of-check Time-of-use (TOCTOU). Дело в том, что во время полного обновления WordPress распаковывает новую версию в предсказуемую директорию внутри wp-content/upgrade, куда также попадают файлы установщика. Проблема заключается в том, что на многих серверах временный каталог доступен из интернета.
В результате, если атакующий успеет обратиться к setup-config.php в короткий промежуток времени, пока WordPress еще не удалил временные файлы, он сможет взаимодействовать с установщиком и добиться выполнения PHP-кода на сервере.
По данным специалистов Для просмотра ссылки Войди
3 ноября 2026 года CISA внесло баг в каталог известных эксплуатируемых уязвимостей (KEV) и обязало федеральные ведомства США установить исправления до 6 ноября.
Администраторам WordPress рекомендуется как можно скорее обновиться до версии 7.1.4 и проверить логи на подозрительные обращения к PHP-файлам в wp-content/upgrade. Также стоит искать подозрительные учетные записи администраторов, плагины и PHP-файлы, которые могли появиться после компрометации сайта.
Для просмотра ссылки Войди