Американската агенция за киберсигурност CISA добави уязвимост от висок клас в ядрото на WordPress към каталога с активно експлоатирани проблеми KEV. Проблемът, регистриран като CVE-2026-119977, позволява отдалечено изпълнение на произволен зловреден код (RCE — Remote Code Execution) по време на процедурата по обновяване на платформата. За българския бизнес, в който софтуерът масово обслужва фирмени сайтове и портали, навременното инсталиране на корекциите е критично за предотвратяване на пълен пробив.
Важно за системните администратори: Уязвимостта се експлоатира активно в дивата природа. Специализираните защитни системи вече регистрират хиляди опити за атака, като нападателите се опитват да получат достъп до сървърите през предвидими междинни директории по време на обновяване.
Как възниква уязвимостта CVE-2026-119977
Проблемът беше открит и докладван от изследователя по сигурността Umut Bayram от компанията Picus Security. Според техническите данни дефектът се дължи на състояние на надпревара от тип TOCTOU (Time-of-check Time-of-use — разминаване между момента на проверка и момента на ползване на ресурса) в ядрото на платформата.
При инсталиране на пълен пакет с актуализации (full-package core upgrades) WordPress използва временни междинни директории (staging paths). Тъй като тези пътища са предвидими и достъпни през уеб среда, външни нападатели без никакви предварителни потребителски права могат да се възползват от прозореца на обновяване. Чрез атака с висока сложност те получават възможност да изпълнят зловреден код директно на уеб сървъра.
Екипът по сигурността на WordPress официално издаде защитна версия 7.1.4 на 28 октомври, като изрично определи изданието като насочено към сигурността и препоръча сайтовете да бъдат обновени незабавно.
Мащаб на заплахата и реакцията на регулаторите
Потвърждението от страна на CISA показва, че дефектът бързо се е превърнал в работещ инструмент за кибератаки. С включването му в каталога KEV (Known Exploited Vulnerabilities) агенцията задължи федералните цивилни агенции в САЩ да защитят системите си до петък съгласно оперативна директива BOD 26-04. CISA отправи апел и към целия частен сектор спешно да приоритизира инсталирането на корекциите.
Мащабът на атаките се потвърждава и от данни на компанията Wordfence, която съобщи, че е блокирала 13 095 атаки, насочени към тази уязвимост, само в рамките на 24 часа.
Развитието следва модела от юли, когато екипът на WordPress коригира опасната верига от уязвимости, наречена wp2shell. Тя комбинираше дефект в маршрутизацията на пакети в REST API (CVE-2026-63030) и уязвимост от тип SQL инжекция (CVE-2026-60137). Публични инструменти за експлоатация се появиха едва ден след пускането на софтуерните пачове, след което нападатели започнаха масово да качват уебшелове (webshells) и злонамерени разширения на необновени сървъри. През септември китайскоговоряща група използва веригата wp2shell, за да източи чувствителни данни от над 18 500 записа в бази данни на малки компании и държавни структури.
Кого засяга проблемът
Уязвимостта застрашава уеб инсталациите на WordPress, които работят с версии преди 7.1.4. Тъй като за експлоатацията не са необходими потребителски привилегии, всеки публично достъпен фирмен сайт или портал представлява потенциална мишена за автоматизираните сканиращи системи.
Особено уязвими са среди, при които правата за запис в основните директории са предоставени без допълнителни ограничения или при които липсват правила за изолация на ниво уеб сървър по време на цикли на надграждане.
Какво да направите сега
За предотвратяване на неоторизиран достъп и компрометиране на фирмените бази данни е необходимо предприемането на навременни технически мерки:
Обновете софтуера на ядрото до официалната коригирана версия 7.1.4, която адресира дефекта в процеса на надграждане.
Проверете конфигурацията на уеб сървъра и блокирайте прекия достъп през браузър до междинните директории и пътища, ползвани при актуализации.
Прегледайте сървърните логове за необичаен трафик и подозрителни заявки към файлове по време на обновяване.
Ако организацията ви не разполага със специализиран ресурс за наблюдение на сигурността или управление на уеб сървърите, специалистите на Defend.bg могат да съдействат с проверка на конфигурациите и защитата на фирмената инфраструктура.
