Агентство CISA 3 ноября 2026 года внесло уязвимость CVE-2026-119977 в каталог известных эксплуатируемых уязвимостей (KEV). Уязвимость затрагивает WordPress Core — от версии 4.7.0 до 7.1.3 — и представляет собой состояние гонки типа Time-of-check Time-of-use (TOCTOU), позволяющее неаутентифицированному атакующему выполнить произвольный код на сервере во время полного обновления ядра. Исправление доступно в WordPress 7.1.4 и бэкпортировано на все поддерживаемые ветки вплоть до серии 4.7. Федеральные гражданские агентства США обязаны устранить уязвимость до 6 ноября 2026 года.
Техническая суть уязвимости
Согласно официальному бюллетеню безопасности WordPress, при полном обновлении ядра (complete-package update) извлечённые файлы помещаются в предсказуемый каталог внутри веб-доступной директории обновлений. Атакующий, выигравший гонку с процессом извлечения, может получить доступ к промежуточным файлам — в частности, к пути установщика setup-config.php — и добиться удалённого выполнения кода без какой-либо аутентификации на сайте.
Уязвимость классифицируется как CWE-367 (TOCTOU Race Condition). По данным Wordfence, ей присвоен CVSS-балл 8.1 (High) с вектором CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Высокая сложность атаки (AC:H) отражает необходимость попасть в узкое временное окно обновления.
Расхождение в оценке серьёзности
Здесь стоит отметить существенное расхождение между источниками. Оригинальный бюллетень WordPress от 29 октября 2026 года маркирует проблему как Low severity и указывает «No known CVE». Позднее — 31 октября — запись в GitHub Advisory Database уже фиксирует идентификатор CVE-2026-119977 и классифицирует уязвимость как High. Wordfence подтверждает оценку 8.1. Таким образом, балл 8.1 — это оценка Wordfence и GitHub Advisory Database, а не оценка самого вендора в первоначальном бюллетене.
Затронутые версии
Уязвимость охватывает все ветки WordPress Core от 4.7 до 7.1.3. Согласно бюллетеню WordPress, затронуты в том числе:
- 7.1.0–7.1.3, 7.0.0–7.0.7
- 6.9.0–6.9.10, 6.8.0–6.8.11, 6.7.0–6.7.10
- 6.6.0–6.6.10, 6.5.0–6.5.13, 6.4.0–6.4.13
- Более ранние ветки вплоть до 4.7.0–4.7.38
Исправление выпущено в WordPress 7.1.4, а патчи бэкпортированы на все перечисленные ветки.
Свидетельства эксплуатации
По данным Wordfence, за скользящий 24-часовой период было заблокировано 18 762 атаки, нацеленные на эту уязвимость. Это моментальный снимок телеметрии, а не совокупный итог кампании — цифра меняется с каждым обновлением.
Независимо от Wordfence, Previdian зафиксировал три попытки эксплуатации на своих сенсорах-ловушках с одного IP-адреса, геолоцированного в Великобритании. Первая попытка датирована 30 октября 2026 года. При этом Previdian прямо оговаривает: наблюдения на сенсорах подтверждают попытки эксплуатации, но не доказывают, что целевая система была уязвима или что атака завершилась успешно.
Атрибуция отсутствует: ни один из доступных источников не связывает наблюдаемую активность с конкретной группировкой, кампанией или набором жертв.
Оценка воздействия
WordPress остаётся доминирующей CMS, и уязвимость в ядре — а не в плагине — автоматически расширяет поверхность атаки на все установки, использующие затронутые версии. Ранее мы уже разбирали уязвимости непосредственно в ядре WordPress: критическую LFI CVE-2026-87902 и уязвимость Click2Shell. CVE-2026-119977 продолжает эту тенденцию, но с важной особенностью: окно эксплуатации ограничено моментом обновления.
Парадоксальность ситуации в том, что уязвимость активируется именно при обновлении — действии, которое администраторы выполняют для повышения безопасности. Это создаёт риск для сайтов с автоматическими обновлениями и для тех, кто обновляется вручную, не контролируя сетевой доступ к директории обновлений.
Рекомендации
- Немедленно обновите WordPress до версии 7.1.4 или до соответствующего патча для вашей ветки. Список исправленных версий опубликован в бюллетене безопасности WordPress.
- Контролируйте доступ к директории обновлений. Поскольку эксплуатация зависит от обращения к предсказуемым путям в веб-доступном каталоге обновлений во время процесса обновления, ограничение сетевого доступа к этим путям (например, через правила веб-сервера или WAF) снижает риск даже до применения патча.
- Мониторьте запросы к промежуточным файлам обновления. Запросы к путям вида
setup-config.phpв директории обновлений вне контекста легитимного обновления — индикатор попытки эксплуатации. - Проводите обновления в условиях ограниченного доступа: по возможности переводите сайт в режим обслуживания или ограничивайте входящий трафик на время обновления ядра.
Внесение CVE-2026-119977 в каталог CISA KEV подтверждает, что уязвимость эксплуатируется на практике, а не остаётся теоретической. Администраторам WordPress-сайтов следует применить обновление до исправленной версии в приоритетном порядке — и при этом убедиться, что сам процесс обновления проходит в защищённых сетевых условиях, с ограниченным внешним доступом к серверу.
