La Cybersecurity and Infrastructure Security Agency degli Stati Uniti (CISA) afferma che gli aggressori stanno sfruttando una vulnerabilità di gravità elevata in WordPress Core. Il difetto, tracciato come CVE-2026-119977, può consentire a soggetti remoti non autenticati di eseguire codice su un server durante determinate operazioni di aggiornamento.
La vulnerabilità è dovuta a una condizione di race tra il controllo e l’utilizzo, che coinvolge percorsi di staging prevedibili e accessibili via web, usati durante gli aggiornamenti completi dei pacchetti di WordPress Core. Il team di sicurezza di WordPress ha corretto il problema nella versione 7.1.4, rilasciata il 28 ottobre, e ha raccomandato agli operatori dei siti di aggiornare tempestivamente.
Martedì CISA ha confermato lo sfruttamento attivo e ha aggiunto la vulnerabilità al proprio catalogo delle vulnerabilità note sfruttate. In base alla Direttiva operativa vincolante 26-04, alle agenzie del ramo esecutivo civile federale è stato chiesto di mettere in sicurezza i propri sistemi entro venerdì. CISA ha inoltre invitato le organizzazioni del settore privato e gli altri difensori delle reti a dare priorità all’applicazione delle patch.
CISA non ha fornito dettagli sugli attacchi. In un aggiornamento pubblicato nel fine settimana, Wordfence ha dichiarato di aver bloccato 13.095 tentativi diretti a sfruttare la vulnerabilità nelle 24 ore precedenti.
Fonti: BleepingComputer.