סוכנות הסייבר והתשתיות האמריקאית (CISA) הוסיפה את החולשה CVE-2026-119977 בליבת WordPress לקטלוג החולשות המנוצלות בפועל (KEV), בעקבות ראיות לניצול. מדובר בחולשה בדרגת חומרה גבוהה (CVSS 8.1) מסוג מרוץ תנאים (TOCTOU): לפי CISA, בזמן עדכון מלא של ליבת WordPress נוצרים נתיבי ביניים צפויים שנגישים מהרשת, ותוקף שאינו מחובר לאתר יכול לנצל אותם כדי להריץ קוד על השרת.
חברת האבטחה Wordfence, שפרסמה את הפרטים בשבוע שעבר, אמרה שהניצול לא דורש חשבון באתר, אבל מתאפשר רק בחלון הקצר של עדכון מלא. לדבריה, ב-21 השעות הראשונות אחרי החשיפה נרשמו יותר מ-18,500 בקשות לנתיבי ההתקנה, ובתוך 24 שעות נחסמו 12,632 ניסיונות ניצול. ניסיונות ראשונים נצפו כבר ב-30 באוקטובר.
מה לעשות: התיקון לחולשה שוחרר בסוף אוקטובר, ומי שמנהל אתר WordPress צריך לוודא שהאתר כבר מעודכן לגרסה המתוקנת. סוכנויות פדרליות בארה״ב חויבו להחיל את התיקון עד 6 בנובמבר.