WordPress, CVE-2026-119977: CISA confirmă exploatarea activă

Pe 3 noiembrie 2026, CISA, agenția americană de securitate cibernetică, a adăugat în catalogul Known Exploited Vulnerabilities (KEV) vulnerabilitatea CVE-2026-119977, un race condition de tip time-of-check time-of-use (TOCTOU) în nucleul WordPress. Este defectul din procesul de actualizare corectat în WordPress 7.1.4, despre care am scris pe 30 octombrie, când încă nu avea un identificator și se cunoșteau doar tentativele de atac observate de Wordfence. Includerea în catalogul KEV arată că CISA are dovezi de exploatare activă. Pe 4 noiembrie și NCSC-NL, centrul național de securitate cibernetică al Țărilor de Jos, a publicat un aviz despre vulnerabilitate.

Ce aduc nou avizele

Potrivit fișei din National Vulnerability Database (NVD), la care trimite intrarea din catalogul KEV, WordPress Core este vulnerabil la execuție de cod de la distanță în versiunile de la 4.7 la 7.1.3. Cauza sunt căile de staging previzibile și accesibile din web pe care WordPress le folosește la actualizările nucleului cu pachetul complet: un atacator neautentificat poate executa cod pe server cât timp actualizarea este în curs.

• CVE: CVE-2026-119977, publicată în NVD pe 31 octombrie 2026, analizată pe 4 noiembrie.
• Slăbiciune: CWE-367 (Time-of-check Time-of-use Race Condition).
• CVSS 3.1: 8.1, gravitate ridicată, atribuit de Wordfence, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H: atac prin rețea, complexitate ridicată, fără privilegii și fără interacțiunea utilizatorului, impact ridicat asupra confidențialității, integrității și disponibilității.
• Cod implicat: referințele NVD indică, în 7.1.3, fișierele class-core-upgrader.php, class-wp-upgrader.php și update-core.php din wp-admin/includes/, plus wp-admin/setup-config.php; corecțiile din 7.1.4 sunt în class-wp-upgrader.php și update-core.php.
• Catalogul KEV: adăugată pe 3 noiembrie 2026; pentru agențiile federale americane termenul de remediere este 6 noiembrie 2026. Utilizarea în campanii ransomware este indicată ca „necunoscută”.
• MITRE ATT&CK: T1190 (Exploit Public-Facing Application).

Avizele disponibile nu descriu lanțul complet de atac, nu conțin indicatori de compromitere și nu spun cine exploatează defectul.

Versiunile corectate, ramură cu ramură

Pe 30 octombrie știam doar că, potrivit surselor, corecția fusese extinsă la ramurile anterioare, până la 4.7. Fișa NVD indică acum, pentru fiecare ramură, prima versiune nevulnerabilă:

• ramurile 4.x: 4.7.39, 4.8.34, 4.9.35;
• ramurile 5.x: 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20;
• ramurile 6.x: 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11;
• ramurile 7.x: 7.0.8, 7.1.4.

O instalare este vulnerabilă dacă versiunea ei este mai mică decât cea indicată pentru ramura sa. NVD nu enumeră versiuni anterioare lui 4.7.

Avizul NCSC-NL

Din avizul NCSC-2026-0466 al NCSC-NL, intitulat „Kwetsbaarheid verholpen in WordPress Core” (vulnerabilitate corectată în WordPress Core), am putut citi doar titlul: textul nu era disponibil. Titlul poartă clasificarea [L/H], care în schema NCSC-NL înseamnă o probabilitate de abuz scăzută (L) și un prejudiciu posibil ridicat (H). Cu o zi înainte, CISA înregistrase exploatarea activă: cine stabilește prioritățile trebuie să țină cont de ambele indicații.

Impactul pentru companiile europene și italiene

Odată inclus în catalogul KEV, defectul trece de la tentative observate de un furnizor de securitate la o vulnerabilitate exploatată, recunoscută de o instituție guvernamentală: în multe programe de gestionare a vulnerabilităților acest lucru este suficient pentru a o trata cu prioritate maximă. Atacul rămâne posibil doar în timpul unei actualizări cu pachetul complet, dar intervalul de versiuni afectate, de la 4.7 la 7.1.3, include și instalări vechi pe care nimeni nu le mai actualizează de mult.

Pentru entitățile care intră sub incidența NIS2, gestionarea vulnerabilităților cunoscute face parte din măsurile de securitate cerute; compromiterea unui site expus trebuie evaluată pentru notificarea către CSIRT-ul național (în Italia, CSIRT Italia al ACN, în România, DNSC) și, dacă baza de date conține date personale, pentru notificarea autorității de protecție a datelor în 72 de ore prevăzută de GDPR. Unitățile sanitare și administrațiile publice care folosesc WordPress pentru programări sau formulare online ar trebui să înceapă cu acele site-uri.

Ce trebuie făcut acum

1. Verifică versiunea fiecărei instalări WordPress, din panoul de control sau cu wp core version, inclusiv cele de test și cele administrate de furnizori externi, și compar-o cu lista pe ramuri.
2. Actualizează la versiunea corectată a ramurii tale sau la 7.1.4, urmând indicațiile producătorului, așa cum cere CISA. Dacă nu poți aplica corecția, CISA indică întreruperea utilizării produsului.
3. Reia măsurile din articolul din 30 octombrie: blochează accesul web și execuția PHP în folderul de staging înainte de actualizare, caută în jurnalele serverului web cereri către setup-config.php în afara căii normale și verifică integritatea cu wp core verify-checksums.
4. Dacă găsești urme: izolează site-ul, păstrează jurnalele, restaurează dintr-o copie curată, schimbă parolele, credențialele bazei de date și cheile secrete, apoi evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet și ce produse sunt recunoscute pe ele, inclusiv site-urile WordPress uitate. ARX Shield ține sub control vulnerabilitățile deschise ale mașinilor monitorizate. ARX Sentry colectează jurnale și evenimente de pe serverele monitorizate, utile pentru a căuta cererile către căile de staging.

Ultima actualizare: 4 noiembrie 2026