Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредило федеральные агентства о том, что злоумышленники начали использовать недавно исправленную уязвимость WordPress высокой степени опасности.
Эта критическая уязвимость в WordPress Core, получившая идентификатор CVE-2026-119977, связана с состоянием гонки Time-of-check Time-of-use (TOCTOU). О ней сообщил исследователь из Picus Security Умут Байрам.
Успешная эксплуатация уязвимости может позволить злоумышленникам, не имеющим привилегий, удаленно выполнять код на сервере в ходе атак высокой сложности из-за предсказуемых, доступных через веб-интерфейс промежуточных путей, используемых при полном обновлении ядра.
«Уязвимость в процессе обновления WordPress, которая может привести к удаленному выполнению кода в период обновления», — заявила команда безопасности WordPress 28 октября, когда она выпустила WordPress 7.1.4 с исправлениями, устраняющими эту проблему безопасности. «Поскольку это версия для системы безопасности, рекомендуется немедленно обновить ваши сайты».
CISA подтвердила активную эксплуатацию CVE-2026-119977 во вторник и добавила уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV), приказав федеральным агентствам гражданской исполнительной власти (FCEB) обеспечить безопасность своих систем к пятнице, как того требует Обязательная оперативная директива (BOD) 26-04.
«Этот тип уязвимости является частым вектором атаки для злоумышленников-киберпреступников и представляет значительные риски для федерального предприятия», — предупредило агентство кибербезопасности.
Хотя BOD 26-04 нацелен только на федеральные агентства США, CISA призвала всех сетевых защитников, включая тех, кто работает в частном секторе, уделять приоритетное внимание исправлению этой уязвимости для защиты своих серверов.
Хотя CISA не предоставила более подробной информации о злоумышленниках, использующих CVE-2026-119977 в дикой природе, компания Wordfence, занимающаяся безопасностью WordPress, сообщает в консультативном обновлении за выходные, что «заблокировала 13 095 атак, нацеленных на эту уязвимость, за последние 24 часа».
В июле команда безопасности WordPress также исправила цепочку критических уязвимостей в ядре WordPress (названном wp2shell), которыми можно злоупотреблять для развертывания веб-оболочек и захвата не исправленных серверов, используя уязвимость REST API, связанную с путаницей пакетных маршрутов (CVE-2026-63030) и ошибку SQL-инъекции (CVE-2026-60137).
Публичные эксплойты wp2shell были опубликованы через день после установки патчей, а злоумышленники начали взламывать серверы без патчей через несколько дней для развертывания постоянных вебшеллов и установки вредоносных плагинов.
В сентябре злоумышленник, владеющий китайским языком, также использовал эксплойт wp2shell для кражи конфиденциальных данных из более чем 18 500 записей, хранящихся в серверных базах данных, принадлежащих малому бизнесу и государственным организациям.
