WordPress CVE-2026-119977: код на сайте исполняется, пока обновляется ядро Третьего ноября 2026 года CISA внесла…
WordPress CVE-2026-119977: код на сайте исполняется, пока обновляется ядро
Третьего ноября 2026 года CISA внесла CVE-2026-119977 в каталог уязвимостей с подтверждённой эксплуатацией, а срок устранения для федеральных агентств США поставила на 6 ноября. Гонка в механизме обновления ядра WordPress: пока сайт обновляется, тот, кто дотянулся до каталога wp-content/upgrade/, получает выполнение кода. Ни аккаунта, ни действия администратора не нужно — попасть в момент обновления.
Что сломано
Обновление ядра раскладывает новые файлы в wp-content/upgrade/ и оттуда переносит их на место. Каталог доступен по HTTP, а последовательность «заполнить — перенести» не атомарна: в окне обновления там лежат файлы, которые сайт исполняет. NVD описывает это как CWE-367, гонку между проверкой и использованием.
CVSS 8.1: сеть, высокая сложность, привилегий нет, участия пользователя нет. Высокая сложность не утешает: окно возникает при каждом полном обновлении — и когда кнопку нажимаете вы, и когда работает автообновление.
Кого касается
Уязвимы версии с 4.7 по 7.1.3 включительно — все ветки от 4.7 до 7.x. «Стабильная» ветка не защищает. Исправленные релизы: