L’Agenzia per la sicurezza informatica e delle infrastrutture degli Stati Uniti (CISA) ha aggiunto una vulnerabilità di WordPress Core al proprio catalogo delle vulnerabilità note e sfruttate, citando prove del fatto che gli aggressori la stanno sfruttando attivamente. La falla, identificata con CVE-2026-119977, ha un punteggio CVSS di 8.1.
La vulnerabilità è una race condition di tipo time-of-check to time-of-use (TOCTOU) che potrebbe consentire ad aggressori non autenticati di eseguire codice sui server interessati durante un aggiornamento completo di Core. CISA attribuisce il rischio all’uso, durante il processo di aggiornamento, di percorsi di staging prevedibili e accessibili dal web. Le patch sono state rilasciate alla fine del mese scorso.
Wordfence aveva precedentemente riferito che per sfruttare la falla non è necessario disporre di un account sul sito, ma che gli aggressori devono riuscire a raggiungere una breve finestra temporale durante l’aggiornamento completo di Core. Nelle prime 21 ore dalla divulgazione pubblica della vulnerabilità, l’azienda ha registrato oltre 18,500 richieste dirette ai percorsi di staging degli installer “setup-config.php”. Ha inoltre riferito di aver bloccato 12,632 tentativi di attacco nelle 24 ore precedenti alla pubblicazione del suo rapporto.
I dati di telemetria di Previdian hanno registrato tre tentativi di sfruttamento contro i suoi sensori honeypot il 30 ottobre 2026, provenienti da un indirizzo IP geolocalizzato nel Regno Unito. In seguito alla conferma di CISA, le agenzie del ramo esecutivo civile federale hanno tempo fino al 6 novembre 2026 per applicare le correzioni.
Fonti: The Hacker News.