CISA попереджає: нову вразливість WordPress активно експлуатують
CISA внесла свіжо виправлену вразливість WordPress Core до каталогу KEV і повідомила про активні атаки. Агентствам США наказано терміново оновити системи.
Агентство з кібербезпеки та безпеки інфраструктури США (CISA) повідомило, що зловмисники вже експлуатують серйозну вразливість у WordPress Core, яка нещодавно отримала виправлення.
Що сталося
Йдеться про CVE-2026-119977 — уразливість високої небезпеки, що походить від гонки станів (TOCTOU) у процесі оновлення ядра. Її виявив дослідник Picus Security Умут Байрам. За певних умов це дозволяє віддалено виконувати код без привілеїв під час повного оновлення ядра через передбачувані та доступні з вебу тимчасові шляхи підготовки.
Команда безпеки WordPress 28 жовтня випустила версію WordPress 7.1.4 із латкою та закликала негайно оновити сайти, адже під час «вікна оновлення» можливе віддалене виконання коду.
Дії CISA та масштаб атак
CISA підтвердила активну експлуатацію CVE-2026-119977 і додала її до каталогу Known Exploited Vulnerabilities (KEV), зобов’язавши агентства федеральної виконавчої влади США (FCEB) захистити системи до п’ятниці згідно з директивою BOD 26-04. Агентство наголошує, що такого типу вразливості часто використовують кіберактори і вони є суттєвим ризиком для держсектору.
Хоч CISA не розкрила деталей атак, компанія Wordfence повідомила, що за останні 24 години заблокувала 13 095 спроб експлуатації цієї вади.
Контекст: попередні інциденти з WordPress Core
У липні команда WordPress закрила критичний ланцюжок уразливостей у ядрі (wp2shell), який поєднував плутанину маршрутів REST API (CVE-2026-63030) і SQL-ін’єкцію (CVE-2026-60137). Публічні експлойти з’явилися вже наступного дня після виходу латок, а зловмисники за кілька днів почали зламувати непатчені сервери, встановлювати вебшелли та шкідливі плагіни.
У вересні китайськомовний кіберактор озброївся цим ланцюжком, викравши чутливі дані з понад 18 500 записів у бекенд-базах малих бізнесів і урядових організацій.
Що робити адміністраторам
Попри те, що директива CISA стосується федеральних структур США, агентство закликає всіх захисників мереж, включно з приватним сектором, пріоритетно встановити оновлення WordPress. За даними компанії, саме оновлення усуває ваду, що спрацьовує під час процесу апгрейду.
