CISA повідомила про експлуатацію вразливості WordPress для віддаленого виконання коду

Агентство з кібербезпеки та захисту інфраструктури США (CISA) попередило федеральні відомства, що зловмисники вже використовують у реальних атаках нещодавно виправлену критичну вразливість WordPress.

Уразливість CVE-2026-119977 належить до високого рівня критичності. Вона виникає через помилку типу TOCTOU (Time-of-check Time-of-use) — стан пов’язаний з конкуренцією за доступ між перевіркою та використанням ресурсу. Про неї повідомив дослідник Picus Security Умут Байрам.

Успішна атака може дати віддаленим зловмисникам без привілеїв змогу виконати код на сервері. Для цього потрібна складна атака, що використовує передбачувані шляхи до тимчасових файлів, доступні через веб, під час повного оновлення ядра WordPress.

«Слабке місце в процесі оновлення WordPress може призвести до віддаленого виконання коду під час оновлення. Оскільки це оновлення безпеки, рекомендуємо негайно оновити свої сайти», — повідомила команда безпеки WordPress 28 жовтня, випускаючи WordPress 7.1.4 із виправленням.

У вівторок CISA підтвердила активну експлуатацію CVE-2026-119977 і внесла вразливість до каталогу відомих експлуатованих уразливостей (KEV). Агентство зобов’язало федеральні цивільні виконавчі відомства США (FCEB) захистити свої системи до п’ятниці відповідно до обов’язкової директиви BOD 26-04.

«Такі вразливості часто стають способом атаки для зловмисників і становлять значний ризик для федеральної інфраструктури», — попередило агентство.

Директива BOD 26-04 стосується лише федеральних відомств США. Водночас CISA закликала всіх фахівців із захисту мереж, зокрема в приватному секторі, насамперед встановити виправлення, щоб убезпечити сервери.

CISA не розкрила подробиць атак із використанням CVE-2026-119977. Однак компанія Wordfence, що спеціалізується на безпеці WordPress, повідомила в оновленні до рекомендацій на вихідних, що за попередні 24 години заблокувала 13 095 атак, спрямованих на цю вразливість.

У липні команда безпеки WordPress також виправила критичний ланцюжок уразливостей у ядрі платформи під назвою wp2shell. Його можна використати для розгортання вебшелів і захоплення невиправлених серверів. Ланцюжок поєднує помилку плутанини маршрутів пакетної обробки REST API (CVE-2026-63030) та вразливість до SQL-ін’єкції (CVE-2026-60137).

Публічні експлойти wp2shell з’явилися наступного дня після випуску виправлень. За кілька днів зловмисники почали зламувати невиправлені сервери, встановлювати на них стійкі вебшели та розгортати шкідливі плагіни.

У вересні китайськомовний зловмисник також використав ланцюжок wp2shell, щоб викрасти конфіденційні дані з понад 18 500 записів у внутрішніх базах даних малих підприємств і державних організацій.

Нагадаємо, у WordPress виправили вразливість Click2Shell, яка за умови, що адміністратор відкриє спеціально сформоване посилання, дає змогу виконувати PHP-код на сервері.