Хакеры используют брешь в обновлении WordPress

CISA внесло уязвимость WordPress CVE-2026-119977 в каталог ошибок, которые уже используются злоумышленниками. Проблема находится в механизме обновления самой системы управления сайтами.

Атака связана с состоянием гонки — ситуацией, когда результат операции зависит от последовательности нескольких параллельных действий. Уязвимость может позволить постороннему выполнить код на сервере в определённый момент установки полного обновления WordPress.

Для эксплуатации нужны специальные условия и точное попадание во временное окно. Это не означает, что любой сайт можно взломать простым открытием страницы. Однако CISA уже подтвердила практическое использование ошибки.

Исправление вышло 28 октября в составе WordPress 7.1.4. Разработчики рекомендуют установить обновление безопасности без промедления. При включённых автоматических фоновых обновлениях процесс должен запускаться самостоятельно, но владельцам сайтов стоит проверить фактически установленную версию.

CISA обязало федеральные гражданские ведомства США устранить проблему к 6 ноября. Этот срок не является обязательным для остальных владельцев сайтов, однако агентство рекомендует им также уделить обновлению приоритетное внимание.

Установка исправления закрывает уязвимость, но сама по себе не подтверждает, что сайт не был скомпрометирован до обновления.