CISA, Агентство по кибербезопасности и защите инфраструктуры США, подтвердило активную эксплуатацию уязвимости в WordPress Core и внесло её в каталог KEV — перечень известных эксплуатируемых уязвимостей. Ошибка получила высокий уровень опасности и оценку 8,1 по CVSS. При удачном сценарии атаки злоумышленник может выполнить произвольный код на сервере.
Проблема зарегистрирована под идентификатором CVE-2026-119977. Это состояние гонки типа TOCTOU — Time-of-check Time-of-use, то есть уязвимость возникает в промежутке между проверкой объекта и его последующим использованием. В данном случае речь идёт о коротком временном окне во время полной модернизации WordPress Core.
Для атаки учётная запись на сайте не нужна. Злоумышленнику требуется лишь точно попасть в момент обновления и обратиться к временным путям, которые создаются при установке полного пакета WordPress Core. По описанию CISA, эти пути предсказуемы и доступны через веб, поэтому атакующий может попытаться использовать их до завершения процедуры обновления.
Особый интерес для атакующих представляют временно размещённые пути установщика setup-config.php. В первые 21 час после публичного раскрытия информации компания Wordfence, специализирующаяся на защите WordPress, зафиксировала более 18 500 запросов, направленных к таким путям. В Wordfence также сообщили, что атака не требует наличия аккаунта на сайте.
На момент публикации данных Wordfence за предыдущие 24 часа были заблокированы 12 632 атаки, пытавшиеся воспользоваться этой ошибкой. Такое количество запросов показывает, что уязвимость быстро попала в поле зрения автоматизированных сканеров и сетей, которые проверяют доступные сайты сразу после появления технических подробностей.
Дополнительные сведения поступили от Previdian. Её телеметрия зафиксировала три попытки эксплуатации против сенсоров honeypot, имитирующих уязвимые системы. Все три события произошли 30 октября 2026 года, а исходный IP-адрес был геолокализован в Великобритании (U.K.). Геолокация сама по себе не доказывает местонахождение оператора атаки, поскольку адрес мог принадлежать прокси-серверу или взломанной инфраструктуре.
Исправления для CVE-2026-119977 были выпущены «в конце прошлого месяца», как указано в сообщении о проблеме. Поскольку уязвимость срабатывает во время полного обновления, администраторам следует проверить именно версию WordPress Core и убедиться, что обновление завершилось корректно. Наличие защитного плагина не заменяет установку исправленной версии ядра: проблема находится в самом процессе обновления.
После подтверждения эксплуатации CISA установила для ведомств Federal Civilian Executive Branch (FCEB) срок устранения уязвимости до 6 ноября 2026 года. Для организаций, которые не относятся к FCEB, эта дата не создаёт формального обязательства, но служит практическим ориентиром: открыто доступный WordPress-сайт с незащищённым ядром может стать целью ещё до того, как администратор заметит подозрительную активность.
При проверке серверов стоит просмотреть журналы обращений к временным каталогам обновления и запросов к setup-config.php, особенно за период после публикации сведений Wordfence. Подозрительные обращения следует сопоставить со временем обновления, изменениями файлов и появлением неизвестных задач или учётных записей. При обнаружении признаков выполнения кода одного обновления недостаточно: потребуется анализ целостности сайта и серверных журналов.
Изображение носит иллюстративный характер
Проблема зарегистрирована под идентификатором CVE-2026-119977. Это состояние гонки типа TOCTOU — Time-of-check Time-of-use, то есть уязвимость возникает в промежутке между проверкой объекта и его последующим использованием. В данном случае речь идёт о коротком временном окне во время полной модернизации WordPress Core.
Для атаки учётная запись на сайте не нужна. Злоумышленнику требуется лишь точно попасть в момент обновления и обратиться к временным путям, которые создаются при установке полного пакета WordPress Core. По описанию CISA, эти пути предсказуемы и доступны через веб, поэтому атакующий может попытаться использовать их до завершения процедуры обновления.
Особый интерес для атакующих представляют временно размещённые пути установщика setup-config.php. В первые 21 час после публичного раскрытия информации компания Wordfence, специализирующаяся на защите WordPress, зафиксировала более 18 500 запросов, направленных к таким путям. В Wordfence также сообщили, что атака не требует наличия аккаунта на сайте.
На момент публикации данных Wordfence за предыдущие 24 часа были заблокированы 12 632 атаки, пытавшиеся воспользоваться этой ошибкой. Такое количество запросов показывает, что уязвимость быстро попала в поле зрения автоматизированных сканеров и сетей, которые проверяют доступные сайты сразу после появления технических подробностей.
Дополнительные сведения поступили от Previdian. Её телеметрия зафиксировала три попытки эксплуатации против сенсоров honeypot, имитирующих уязвимые системы. Все три события произошли 30 октября 2026 года, а исходный IP-адрес был геолокализован в Великобритании (U.K.). Геолокация сама по себе не доказывает местонахождение оператора атаки, поскольку адрес мог принадлежать прокси-серверу или взломанной инфраструктуре.
Исправления для CVE-2026-119977 были выпущены «в конце прошлого месяца», как указано в сообщении о проблеме. Поскольку уязвимость срабатывает во время полного обновления, администраторам следует проверить именно версию WordPress Core и убедиться, что обновление завершилось корректно. Наличие защитного плагина не заменяет установку исправленной версии ядра: проблема находится в самом процессе обновления.
После подтверждения эксплуатации CISA установила для ведомств Federal Civilian Executive Branch (FCEB) срок устранения уязвимости до 6 ноября 2026 года. Для организаций, которые не относятся к FCEB, эта дата не создаёт формального обязательства, но служит практическим ориентиром: открыто доступный WordPress-сайт с незащищённым ядром может стать целью ещё до того, как администратор заметит подозрительную активность.
При проверке серверов стоит просмотреть журналы обращений к временным каталогам обновления и запросов к setup-config.php, особенно за период после публикации сведений Wordfence. Подозрительные обращения следует сопоставить со временем обновления, изменениями файлов и появлением неизвестных задач или учётных записей. При обнаружении признаков выполнения кода одного обновления недостаточно: потребуется анализ целостности сайта и серверных журналов.
