Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat eine Schwachstelle im WordPress Core in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und dabei auf Belege verwiesen, dass Angreifer sie aktiv ausnutzen. Die als CVE-2026-119977 geführte Schwachstelle hat einen CVSS-Wert von 8,1.
Bei der Schwachstelle handelt es sich um eine Race Condition vom Typ „Time-of-Check to Time-of-Use“ (TOCTOU), die es nicht authentifizierten Angreifern ermöglichen könnte, während eines vollständigen Core-Upgrades Code auf betroffenen Servern auszuführen. CISA führt das Risiko auf vorhersehbare, über das Web erreichbare Staging-Pfade zurück, die während des Aktualisierungsvorgangs verwendet werden. Patches wurden Ende des vergangenen Monats veröffentlicht.
Wordfence berichtete zuvor, dass für die Ausnutzung der Schwachstelle kein Site-Konto erforderlich ist, Angreifer jedoch ein kurzes Zeitfenster erreichen müssen, während ein vollständiges Core-Update läuft. Das Unternehmen verzeichnete in den ersten 21 Stunden nach der öffentlichen Offenlegung der Schwachstelle mehr als 18.500 Anfragen, die auf bereitgestellte „setup-config.php“-Installer-Pfade zielten. Außerdem meldete das Unternehmen, in den 24 Stunden vor der Veröffentlichung seines Berichts 12.632 Angriffsversuche blockiert zu haben.
Die Telemetriedaten von Previdian verzeichneten am 30. Oktober 2026 drei Ausnutzungsversuche gegen seine Honeypot-Sensoren, die von einer IP-Adresse ausgingen, die geografisch im Vereinigten Königreich verortet wurde. Nach der Bestätigung durch CISA haben die Behörden des Federal Civilian Executive Branch bis zum 6. November 2026 Zeit, die Fehlerbehebungen anzuwenden.
Quellen: The Hacker News.