Co się wydarzyło
Nieuwierzytelniony napastnik może wykorzystać warunek wyścigu, by uruchomić kod na serwerze w trakcie trwającej aktualizacji. Wordfence odnotował ponad 18 500 żądań celujących w ścieżki instalatora WordPressa w pierwszych 21 godzinach, a pierwsze trafienie reguły zapory padło dziewięć minut po jej wdrożeniu — to próby wykorzystania, nie potwierdzone kompromitacje. Agencje federalne USA mają załatać lukę do 6 listopada 2026.
To nie jedyny świeży cios w ekosystem WordPress: 20 października doszło do naruszenia dostawcy TeamUpdraft, w którym skradzione klucze UpdraftCentral posłużyły do instalowania wtyczek z backdoorem i tworzenia nieautoryzowanych kont administratora — potencjalnie na około 400 tysiącach witryn.
Najważniejsze ustalenia
- CVE-2026-119977 (CVSS 8,1): RCE w rdzeniu WordPressa 4.7–7.1.3 przez przewidywalne katalogi przejściowe; warunek wyścigu w trakcie aktualizacji. Poprawka: WordPress 7.1.4.
- Wordfence: ponad 18 500 żądań w ścieżki instalatora w pierwszych 21 godzinach; pierwsze trafienie 9 minut po wdrożeniu reguły.
- Termin CISA dla agencji federalnych USA: 6 listopada 2026.
- Kontekst: naruszenie TeamUpdraft (20.10) — skradzione klucze UpdraftCentral i backdoory potencjalnie na około 400 tysiącach witryn.
Dlaczego to ważne
Komentarz SafeWaveTo dotyczy bezpośrednio każdego, kto utrzymuje strony na WordPressie — w tym nas. Dwa wnioski. Pierwszy: aktualizacja rdzenia, czyli czynność uznawana za higienę bezpieczeństwa, sama stała się oknem ataku — należy zaktualizować do 7.1.4 i ograniczyć dostęp do katalogów instalatora z sieci. Drugi, z przypadku TeamUpdraft: ryzyko wchodzi przez zaufane wtyczki i ich klucze zarządzające — warto zinwentaryzować wtyczki o wysokich uprawnieniach, rotować klucze integracji i monitorować tworzenie nowych kont administratora. Dla WordPressa regułą pozostaje: minimum wtyczek, szybkie łatanie rdzenia i kontrola kont uprzywilejowanych.