CVE-2026-119977
Sfruttamento noto · CISA KEV
CVSS 8.1 HIGH: wordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. EPSS 0.6% (49º percentile).
Data di correzione federale CISA 6 nov
Vulnerabilità ed exploit
Il 3 novembre 2026 CISA ha confermato lo sfruttamento attivo di CVE-2026-119977 in WordPress Core: un attaccante senza account può eseguire codice sul server, ma solo durante un aggiornamento completo.
In quella fase, file temporanei di staging restano raggiungibili dal web per pochi istanti. L’attaccante sfrutta il breve intervallo dell’aggiornamento per inserire codice sul server. La falla riguarda le versioni dalla 4.7 alla 7.1.3; WordPress ha pubblicato le correzioni. Per le agenzie federali civili statunitensi, la scadenza per intervenire è il 6 novembre 2026.
La finestra d’attacco è episodica, ma aggiornare il sito in seguito non chiarisce se sia stato compromesso durante un aggiornamento precedente.
2 fonti · 2 ore fa
Sfruttamento noto · CISA KEV
CVSS 8.1 HIGH: wordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. EPSS 0.6% (49º percentile).
Data di correzione federale CISA 6 nov
NCSC-NL Advisories
Kwetsbaarheid verholpen in WordPress Core
WordPress heeft een kwetsbaarheid verholpen in WordPress Core versies 4.7 tot en met 7.1.3.
originaleThe Hacker News
CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades
CISA confirms active exploitation of CVE-2026-119977, a WordPress Core flaw that allows unauthenticated code execution during upgrades.
originalePart of the PlainSec briefing for 2026-11-04
Every edition of this story: La finestra d’aggiornamento espone WordPress a codice non autorizzato