W systemie WordPress wykryto poważną podatność CVE-2026-119977, która dotyczy wersji od 4.7 do 7.1.3. Problem polega na sposobie, w jaki oprogramowanie obsługuje pełne aktualizacje. Podczas procesu instalacji WordPress tymczasowo wypakowuje pliki do folderu dostępnego publicznie, co tworzy krótkie okno czasowe dla napastników.
Atakujący mogą wykorzystać ten moment do wykonania złośliwego kodu PHP bez konieczności posiadania uprawnień do logowania. Skutkiem może być instalacja backdoorów, kradzież danych lub przejęcie uprawnień administratora. Luka posiada wysoką ocenę CVSS na poziomie 8.1.
Skala ataków jest ogromna – firma Wordfence zablokowała ponad 240 000 prób eksploatacji. CISA umieściła tę podatność na liście aktywnie wykorzystywanych błędów, wyznaczając termin naprawy dla agencji rządowych. Co istotne, witryny mogą pozostawać narażone nawet w trakcie instalowania poprawki, ponieważ proces aktualizacji sam w sobie wykorzystuje podatny mechanizm.
Rozwiązaniem jest aktualizacja do wersji 7.1.4 lub nowszej. Eksperci zalecają dodatkowe zabezpieczenie poprzez zablokowanie dostępu do plików PHP w katalogu /wp-content/upgrade/ przed rozpoczęciem procesu aktualizacji.
