L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté une vulnérabilité de WordPress Core à son catalogue des vulnérabilités connues comme exploitées, citant des preuves que des attaquants l’exploitent activement. La faille, répertoriée sous le numéro CVE-2026-119977, a un score CVSS de 8,1.
La vulnérabilité est une condition de concurrence de type « vérification puis utilisation » (TOCTOU), qui pourrait permettre à des attaquants non authentifiés d’exécuter du code sur les serveurs concernés pendant une mise à niveau complète de Core. La CISA attribue le risque aux chemins de préproduction prévisibles et accessibles depuis le Web, utilisés pendant le processus de mise à jour. Des correctifs ont été publiés à la fin du mois dernier.
Wordfence avait précédemment indiqué que l’exploitation de la faille ne nécessite aucun compte sur le site, mais dépend de la possibilité pour les attaquants d’accéder à une brève fenêtre pendant l’installation d’une mise à jour complète de Core. L’entreprise a recensé plus de 18 500 requêtes ciblant les chemins de préproduction de l’installateur « setup-config.php » au cours des 21 premières heures suivant la divulgation publique de la vulnérabilité. Elle a également indiqué avoir bloqué 12 632 tentatives d’attaque au cours des 24 heures précédant la publication de son rapport.
Les données télémétriques de Previdian ont enregistré trois tentatives d’exploitation contre ses capteurs honeypot le 30 octobre 2026, provenant d’une adresse IP géolocalisée au Royaume-Uni. À la suite de la confirmation de la CISA, les agences fédérales du pouvoir exécutif civil ont jusqu’au 6 novembre 2026 pour appliquer les correctifs.
Sources: The Hacker News.