Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft een beveiligingslek in WordPress Core toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus, met verwijzing naar aanwijzingen voor actieve uitbuiting.
De kwetsbaarheid met hoge ernst, geregistreerd als CVE-2026-119977 (CVSS-score: 8.1), betreft een time-of-check time-of-use (TOCTOU) raceconditie die kan worden misbruikt om willekeurige code-uitvoering op getroffen servers te bereiken. Eind vorige maand zijn er patches voor het lek uitgebracht.
“WordPress Core bevat een time-of-check time-of-use (TOCTOU) raceconditie die ongeauthenticeerde aanvallers zou kunnen toestaan code op de server uit te voeren tijdens het upgradevenster,” aldus CISA. “Dit komt door voorspelbare, via web toegankelijke staging-paden die worden gebruikt tijdens volledige pakket core-upgrades.”
Details over het lek kwamen vorige week naar buiten toen Wordfence aangaf dat het misbruik van de kwetsbaarheid geen account op de site vereist. Wel moet een aanvaller een kort tijdvenster tijdens een volledige Core-update benutten waarin ongeauthenticeerde code-uitvoering mogelijk is.
In de eerste 21 uur na de publieke bekendmaking zei het WordPress-beveiligingsbedrijf meer dan 18.500 verzoeken te hebben geregistreerd die gericht waren op gestage “setup-config.php” installer-paden. Ten tijde van schrijven zijn in de afgelopen 24 uur 12.632 aanvallen die probeerden het lek te misbruiken geblokkeerd.
Telemetriegegevens van Previdian tonen dat er drie uitbuitingpogingen zijn geregistreerd tegen zijn honeypot-sensoren vanaf een IP-adres dat geolokaliseerd is in het Verenigd Koninkrijk. De uitbuitinggebeurtenissen werden waargenomen op 30 oktober 2026.
Aangezien uitbuiting nu officieel door CISA is bevestigd, hebben Federal Civilian Executive Branch (FCEB)-agentschappen de tijd tot 6 november 2026 om de patches toe te passen.
