Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) teilt mit, dass Angreifer eine schwerwiegende Schwachstelle im WordPress Core ausnutzen. Die als CVE-2026-119977 geführte Schwachstelle kann es nicht authentifizierten Angreifern aus der Ferne ermöglichen, bei bestimmten Aktualisierungsvorgängen Code auf einem Server auszuführen.
Die Schwachstelle geht auf eine Race Condition zwischen Prüfung und Verwendung zurück, die vorhersehbare, über das Web erreichbare Staging-Pfade betrifft, die bei vollständigen Aktualisierungen des WordPress Core-Pakets verwendet werden. Das WordPress-Sicherheitsteam hat das Problem in Version 7.1.4 behoben, die am 28. Oktober veröffentlicht wurde, und Website-Betreibern empfohlen, das Update umgehend zu installieren.
CISA bestätigte am Dienstag, dass die Schwachstelle aktiv ausgenutzt wird, und nahm sie in seinen Katalog bekanntermaßen ausgenutzter Schwachstellen auf. Gemäß der Binding Operational Directive 26-04 wurden die zivilen Bundesbehörden der Exekutive angewiesen, ihre Systeme bis Freitag abzusichern. CISA forderte außerdem Organisationen des Privatsektors und andere Netzwerkverteidiger auf, dem Einspielen des Patches Vorrang einzuräumen.
CISA machte keine Angaben zu den Angriffen. Wordfence teilte in einer Aktualisierung seines Sicherheitshinweises am Wochenende mit, innerhalb der vorangegangenen 24 Stunden 13.095 Versuche abgewehrt zu haben, die auf die Schwachstelle abzielten.
Quellen: BleepingComputer.