Агентство CISA 3 листопада 2026 року внесло вразливість CVE-2026-119977 до каталогу відомих експлуатованих вразливостей (KEV). Вразливість зачіпає WordPress Core — від версії 4.7.0 до 7.1.3 — і являє собою стан гонки типу Time-of-check Time-of-use (TOCTOU), який дозволяє неавтентифікованому зловмиснику виконати довільний код на сервері під час повного оновлення ядра. Виправлення доступне у WordPress 7.1.4 і бекпортовано на всі підтримувані гілки аж до серії 4.7. Федеральні цивільні агентства США зобов’язані усунути вразливість до 6 листопада 2026 року.
Технічна суть вразливості
Згідно з офіційним бюлетенем безпеки WordPress, під час повного оновлення ядра (complete-package update) розпаковані файли розміщуються в передбачуваному каталозі всередині веб-доступної директорії оновлень. Зловмисник, який виграє гонку з процесом розпакування, може отримати доступ до проміжних файлів — зокрема, до шляху інсталятора setup-config.php — і досягти віддаленого виконання коду без будь-якої автентифікації на сайті.
Вразливість класифікується як CWE-367 (TOCTOU Race Condition). За даними Wordfence, їй присвоєно CVSS-бал 8.1 (High) з вектором CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Висока складність атаки (AC:H) відображає необхідність потрапити у вузьке часовe вікно оновлення.
Розбіжність в оцінці серйозності
Тут варто зазначити суттєву розбіжність між джерелами. Оригінальний бюлетень WordPress від 29 жовтня 2026 року позначає проблему як Low severity і вказує «No known CVE». Пізніше — 31 жовтня — запис у GitHub Advisory Database уже фіксує ідентифікатор CVE-2026-119977 і класифікує вразливість як High. Wordfence підтверджує оцінку 8.1. Таким чином, бал 8.1 — це оцінка Wordfence і GitHub Advisory Database, а не оцінка самого вендора в початковому бюлетені.
Зачеплені версії
Вразливість охоплює всі гілки WordPress Core від 4.7 до 7.1.3. Згідно з бюлетенем WordPress, зачеплено зокрема такі версії:
- 7.1.0–7.1.3, 7.0.0–7.0.7
- 6.9.0–6.9.10, 6.8.0–6.8.11, 6.7.0–6.7.10
- 6.6.0–6.6.10, 6.5.0–6.5.13, 6.4.0–6.4.13
- Більш ранні гілки аж до 4.7.0–4.7.38
Виправлення випущене у WordPress 7.1.4, а патчі бекпортовано на всі перелічені гілки.
Свідчення експлуатації
За даними Wordfence, за ковзний 24-годинний період було заблоковано 18 762 атаки, націлені на цю вразливість. Це моментальний знімок телеметрії, а не сукупний підсумок кампанії — цифра змінюється з кожним оновленням.
Незалежно від Wordfence, Previdian зафіксував три спроби експлуатації на своїх сенсорах-пастках з однієї IP-адреси, геолокованої у Великій Британії. Перша спроба датована 30 жовтня 2026 року. При цьому Previdian прямо застерігає: спостереження на сенсорах підтверджують спроби експлуатації, але не доводять, що цільова система була вразливою або що атака завершилась успішно.
Атрибуція відсутня: жодне з доступних джерел не пов’язує спостережувану активність із конкретною групою, кампанією чи набором жертв.
Оцінка впливу
WordPress залишається домінуючою CMS, і вразливість у ядрі — а не в плагіні — автоматично розширює поверхню атаки на всі інсталяції, що використовують зачеплені версії. Раніше ми вже розбирали вразливості безпосередньо в ядрі WordPress: критичну LFI CVE-2026-87902 і вразливість Click2Shell. CVE-2026-119977 продовжує цю тенденцію, але з важливою особливістю: вікно експлуатації обмежене моментом оновлення.
Парадоксальність ситуації в тому, що вразливість активується саме під час оновлення — дії, яку адміністратори виконують для підвищення безпеки. Це створює ризик для сайтів з автоматичними оновленнями і для тих, хто оновлюється вручну, не контролюючи мережевий доступ до директорії оновлень.
Рекомендації
- Негайно оновіть WordPress до версії 7.1.4 або до відповідного патча для вашої гілки. Перелік виправлених версій опублікований у бюлетені безпеки WordPress.
- Контролюйте доступ до директорії оновлень. Оскільки експлуатація залежить від звернення до передбачуваних шляхів у веб-доступному каталозі оновлень під час процесу оновлення, обмеження мережевого доступу до цих шляхів (наприклад, через правила веб-сервера або WAF) знижує ризик навіть до застосування патча.
- Відстежуйте запити до проміжних файлів оновлення. Запити до шляхів на кшталт
setup-config.phpу директорії оновлень поза контекстом легітимного оновлення — індикатор спроби експлуатації. - Проводьте оновлення в умовах обмеженого доступу: за можливості переводьте сайт у режим обслуговування або обмежуйте вхідний трафік на час оновлення ядра.
Внесення CVE-2026-119977 до каталогу CISA KEV підтверджує, що вразливість експлуатується на практиці, а не залишається теоретичною. Адміністраторам WordPress-сайтів слід у пріоритетному порядку застосувати оновлення до виправленої версії — і при цьому переконатися, що сам процес оновлення відбувається в захищених мережевих умовах, з обмеженим зовнішнім доступом до сервера.
