Vulnerabilità · 2 ore fa

La finestra d’aggiornamento espone WordPress a codice non autorizzato

Il 3 novembre 2026 CISA ha confermato lo sfruttamento attivo di CVE-2026-119977 in WordPress Core: un attaccante senza account può eseguire codice sul server, ma solo durante un aggiornamento completo.

In quella fase, file temporanei di staging restano raggiungibili dal web per pochi istanti. L’attaccante sfrutta il breve intervallo dell’aggiornamento per inserire codice sul server. La falla riguarda le versioni dalla 4.7 alla 7.1.3; WordPress ha pubblicato le correzioni. Per le agenzie federali civili statunitensi, la scadenza per intervenire è il 6 novembre 2026.

La finestra d’attacco è episodica, ma aggiornare il sito in seguito non chiarisce se sia stato compromesso durante un aggiornamento precedente.

CVE-2026-119977

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 8.1 HIGH: wordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. EPSS 0.6% (49º percentile).

Data di correzione federale CISA 6 nov

Cronologia

6 nov Scadenza federale CISA per CVE-2026-119977
4 nov Segnalato da NCSC-NL Advisories
3 nov CVE-2026-119977 aggiunto al KEV CISA

Fonti

2 fonti che coprono questa storia

NCSC-NL Advisories 4 nov
Kwetsbaarheid verholpen in WordPress Core
WordPress heeft een kwetsbaarheid verholpen in WordPress Core versies 4.7 tot en met 7.1.3.
The Hacker News 4 nov
CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades
CISA confirms active exploitation of CVE-2026-119977, a WordPress Core flaw that allows unauthenticated code execution during upgrades.

Entità

CVE-2026-119977

Part of the PlainSec briefing for 2026-11-04

Editions

Briefing for 2026-11-04

Storie correlate

Vulnerabilità · 2 ore faLa finestra d’aggiornamento espone WordPress a codice non autorizzatoIl 3 novembre 2026 CISA ha confermato lo sfruttamento attivo di CVE-2026-119977 in WordPress Core: un attaccante senza account può eseguire codice sul server, ma solo durante un aggiornamento completo.In quella fase, file temporanei di staging restano raggiungibili dal web per pochi istanti. L’attaccante sfrutta il breve intervallo dell’aggiornamento per inserire codice sul server. La falla riguarda le versioni dalla 4.7 alla 7.1.3; WordPress ha pubblicato le correzioni. Per le agenzie federali civili statunitensi, la scadenza per intervenire è il 6 novembre 2026.La finestra d’attacco è episodica, ma aggiornare il sito in seguito non chiarisce se sia stato compromesso durante un aggiornamento precedente.