L’Agenzia per la sicurezza informatica e delle infrastrutture degli Stati Uniti (CISA) ha confermato lo sfruttamento di una vulnerabilità del core di WordPress e il 3 novembre l’ha aggiunta al catalogo delle vulnerabilità note sfruttate, noto come KEV. La vulnerabilità, CVE-2026-119977, può consentire a un aggressore non autenticato di eseguire codice sul server durante l’installazione di un aggiornamento completo di WordPress.
Il problema ha un punteggio CVSS di 8,1 ed è dovuto a una condizione di race di tipo TOCTOU — «time-of-check time-of-use». La finestra di rischio si presenta durante il processo di aggiornamento: percorsi di preparazione prevedibili e accessibili dal web possono esporre file temporanei prima che l’installazione sia terminata. WordPress ha pubblicato la correzione nella versione 7.1.4 il 28 ottobre.
«WordPress Core contiene una vulnerabilità di race condition di tipo time-of-check time-of-use (TOCTOU) che potrebbe consentire ad aggressori non autenticati di eseguire codice sul server durante la finestra di aggiornamento. Ciò è dovuto a percorsi di preparazione prevedibili e accessibili dal web utilizzati durante gli aggiornamenti completi del core».
— CISA
L’attacco dipende da una breve finestra di aggiornamento
La vulnerabilità non richiede che l’aggressore disponga di un account sul sito, ma è necessario che riesca a sfruttare l’intervallo in cui viene preparato un aggiornamento completo del core. Secondo la descrizione di CISA, il rischio risiede nei percorsi di preparazione esposti durante questo processo. L’esecuzione di codice sul server è il possibile risultato se l’aggressore sfrutta la race condition mentre l’aggiornamento è in corso.
The Hacker News ha riferito che i dettagli tecnici sono stati resi pubblici la settimana precedente all’inserimento nel KEV. Wordfence, l’azienda di sicurezza di WordPress citata dalla testata, ha osservato che non è necessario un account e che l’attacco deve coincidere con la breve finestra di un aggiornamento completo. Non si tratta quindi della prova che qualsiasi installazione vulnerabile possa essere attaccata in qualsiasi momento: il processo di aggiornamento è una delle condizioni descritte.
La vulnerabilità interessa WordPress Core precedente alla versione 7.1.4, secondo l’avviso del Centro canadese per la cybersicurezza. Previdian specifica che le versioni interessate vanno dalla 4.7 alla 7.1.3. WordPress ha annunciato che le patch di sicurezza vengono integrate anche nei rami idonei, attualmente fino alla versione 4.7; questi backport saranno distribuiti non appena pronti. L’annuncio ricorda che solo la versione più recente riceve supporto attivo.
Oltre 18.500 richieste nelle prime 21 ore
I segnali di attività sono emersi prima della conferma di CISA. Wordfence ha registrato oltre 18.500 richieste dirette ai percorsi del programma di installazione «setup-config.php» predisposti nelle prime 21 ore successive alla divulgazione pubblica. Al momento del rapporto, erano stati bloccati 12.632 tentativi di sfruttamento nelle 24 ore precedenti.
Previdian ha rilevato tre tentativi contro i propri sensori, tutti provenienti da un indirizzo IP geolocalizzato nel Regno Unito. Gli eventi sono stati rilevati il 30 ottobre 2026. I dati indicano un unico IP aggressore, un paese e un sensore; l’azienda precisa che le proprie osservazioni non dimostrano che il bersaglio fosse vulnerabile né che i tentativi siano riusciti.
La cronologia di Previdian colloca la prima osservazione dei suoi sensori il 30 ottobre. Lo stesso giorno ha aggiunto il caso al proprio feed delle vulnerabilità sfruttate e l’identificativo CVE è stato riservato. L’identificativo è stato assegnato il 2 novembre; CISA ha aggiunto la vulnerabilità al KEV il 3 novembre. Il 4 novembre, The Hacker News ha riferito della conferma e dello sfruttamento attivo.
The Hacker News segnala che le agenzie del potere esecutivo civile federale degli Stati Uniti hanno tempo fino al 6 novembre 2026 per applicare le correzioni. L’inserimento nel catalogo conferma lo sfruttamento, ma non identifica di per sé quali siti potrebbero essere stati compromessi.
WordPress 7.1.4 include diverse correzioni di sicurezza
WordPress ha pubblicato la versione 7.1.4 il 28 ottobre come aggiornamento di sicurezza e ne ha raccomandato l’installazione immediata. La correzione della vulnerabilità di esecuzione remota durante l’aggiornamento era una delle diverse correzioni incluse. L’annuncio di WordPress elenca anche vulnerabilità di cross-site scripting memorizzato (XSS), problemi nell’API Interactivity, l’esposizione di modifiche non pubblicate del personalizzatore e un aggiornamento dei certificati radice inclusi dovuto alla revoca di eMudhra.
Tra i problemi descritti, WordPress ha attribuito ad Anthropic l’avviso sulle richieste di cancellazione dei dati personali che potevano generare XSS memorizzato, oltre a un altro caso relativo a accessi utente appositamente predisposti. Rafie Muhammad, di Awesome Motive, Inc., ha segnalato una vulnerabilità XSS nel markup dei blocchi e un’altra nell’aggiornamento selettivo del personalizzatore. Ben Bidner, del team di sicurezza di WordPress, ha segnalato problemi nei blocchi Categories, Playlist e immagini. L’annuncio identifica inoltre diverse segnalazioni relative all’API Interactivity e ai blocchi di paginazione dei commenti.
La pubblicazione è una versione a ciclo breve; WordPress ha indicato che la successiva versione principale, la 7.2, era prevista per l’8 dicembre. Ha inoltre annunciato WordPress 7.2 Beta 3, che contiene le correzioni applicabili. Al momento della pubblicazione dell’annuncio, erano in corso i backport per i rami che ricevono aggiornamenti di sicurezza.
La patch e l’indagine sono attività distinte
Il Centro canadese per la cybersicurezza ha pubblicato l’avviso AV26-1117 il 3 novembre. Indica come interessato WordPress Core precedente alla versione 7.1.4, informa dell’inserimento di CVE-2026-119977 nel KEV e raccomanda a utenti e amministratori di verificare gli aggiornamenti pertinenti. WordPress mette a disposizione la versione 7.1.4 per il download e consente anche di avviare l’aggiornamento dal pannello di amministrazione; i siti compatibili con gli aggiornamenti automatici possono riceverla in background.
Park Labs distingue tra l’installazione della correzione e la verifica di eventuali attività precedenti. Per valutare un sito, suggerisce di controllare la versione del core, i registri degli aggiornamenti e le richieste ricevute durante il processo, oltre a conservare i log e i file in caso di sospetta intrusione. Queste verifiche non confermano che un sito specifico sia stato attaccato; neppure la telemetria pubblicata da Previdian dimostra che i suoi tentativi abbiano portato all’esecuzione di codice.
L’avviso di CISA arriva dopo la pubblicazione della patch e i primi tentativi osservati a fine ottobre. Per gli amministratori, il prossimo passo pratico è verificare che l’installazione esegua una versione che include la correzione; per le agenzie civili federali statunitensi, la scadenza comunicata per applicarla è il 6 novembre.
Fonti: The Hacker News, Canadian Centre for Cyber Security, WordPress News, Previdian, Park Labs
