Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредило, что злоумышленники атакуют уязвимость CVE-2026-119977 в ядре WordPress. Баг позволяет выполнить код без аутентификации во время обновления движка, и специалисты Wordfence пишут, что всего за сутки заблокировали почти 63 000 попыток эксплуатации.

Уязвимость CVE-2026-119977 получила 8,1 балла по шкале CVSS и затрагивает WordPress Core с 4.7 по 7.1.3. Проблему обнаружил исследователь компании Picus Security, и исправление для нее вошло в состав версии WordPress 7.1.4, выпущенной 28 октября 2026 года.

В основе CVE-2026-119977 лежит состояние гонки типа Time-of-check Time-of-use (TOCTOU). Дело в том, что во время полного обновления WordPress распаковывает новую версию в предсказуемую директорию внутри wp-content/upgrade, куда также попадают файлы установщика. Проблема заключается в том, что на многих серверах временный каталог доступен из интернета.

В результате, если атакующий успеет обратиться к setup-config.php в короткий промежуток времени, пока WordPress еще не удалил временные файлы, он сможет взаимодействовать с установщиком и добиться выполнения PHP-кода на сервере.

По данным специалистов Wordfence, обычно этот период длится всего несколько секунд, поэтому эксплуатация уязвимости требует точного расчета. Но злоумышленники обходят это ограничение, постоянно отправляя запросы к предполагаемым путям размещения временных файло. Исследователи пишут, что всего через 21 час после раскрытия информации о баге они зафиксировали более 18 500 запросов к setup-config.php во временных каталогах. Позже всего за одни сутки было заблокировано 62 969 попыток эксплуатации CVE-2026-119977.

3 ноября 2026 года CISA внесло баг в каталог известных эксплуатируемых уязвимостей (KEV) и обязало федеральные ведомства США установить исправления до 6 ноября.

Администраторам WordPress рекомендуется как можно скорее обновиться до версии 7.1.4 и проверить логи на подозрительные обращения к PHP-файлам в wp-content/upgrade. Также стоит искать подозрительные учетные записи администраторов, плагины и PHP-файлы, которые могли появиться после компрометации сайта.