L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) indique que des attaquants exploitent une vulnérabilité de gravité élevée dans WordPress Core. La faille, référencée sous le nom CVE-2026-119977, peut permettre à des acteurs distants non authentifiés d’exécuter du code sur un serveur lors de certaines opérations de mise à niveau.
La vulnérabilité résulte d’une condition de concurrence entre la vérification et l’utilisation, impliquant des chemins de préparation prévisibles et accessibles sur le Web, utilisés lors des mises à niveau complètes du cœur de WordPress. L’équipe de sécurité de WordPress l’a corrigée dans la version 7.1.4, publiée le 28 octobre, et a recommandé aux exploitants de sites d’effectuer rapidement la mise à jour.
La CISA a confirmé mardi que la vulnérabilité faisait l’objet d’une exploitation active et l’a ajoutée à son catalogue des vulnérabilités exploitées connues. En vertu de la directive opérationnelle contraignante 26-04, les agences de la branche exécutive civile fédérale ont été invitées à sécuriser leurs systèmes d’ici vendredi. La CISA a également exhorté les organisations du secteur privé et les autres défenseurs des réseaux à donner la priorité à l’application du correctif.
La CISA n’a fourni aucun détail sur les attaques. Dans une mise à jour de son avis publiée pendant le week-end, Wordfence a indiqué avoir bloqué 13 095 tentatives visant la vulnérabilité au cours des 24 heures précédentes.
Sources: BleepingComputer.