WordPress-Administratoren wird geraten, den Zugriff auf ein temporäres Aktualisierungsverzeichnis einzuschränken, bevor sie Patches für CVE-2026-119977 einspielen, eine aktiv ausgenutzte Schwachstelle, die WordPress-Versionen von 4.7 bis 7.1.3 betrifft.
Laut dem Sicherheitsforscher Umut Bayram von Picus Security können einige Websites während des Aktualisierungsprozesses selbst weiterhin gefährdet sein. Obwohl WordPress 7.1.4 und Releases der unterstützten Versionszweige das Problem beheben, kann älterer Updater-Code das Aktualisierungspaket weiterhin in ein über das Web erreichbares temporäres Verzeichnis entpacken, bevor die neuen Schutzmaßnahmen wirksam werden.
Das Problem betrifft Dateien, die unter wp-content/upgrade abgelegt werden. Während bestimmter Core-Updates extrahiert WordPress an diesem Ort ein vollständiges Release-Paket. Wenn ein Angreifer den Namen des temporären Ordners vorhersagen oder ermitteln und auf Installer-Dateien zugreifen kann, bevor diese entfernt werden, könnte er möglicherweise Code mit den Berechtigungen des Webservers ausführen.
CISA hat die Schwachstelle in seinen Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Wordfence berichtete, kurz nach der Veröffentlichung einer Firewall-Regel für die Schwachstelle Angriffsaktivitäten beobachtet zu haben, darunter Verhalten, das mit Versuchen übereinstimmt, Websites während laufender Aktualisierungen anzugreifen.
Wer betroffen sein kann
Das Ausmaß der Gefährdung hängt von dem an eine Website ausgelieferten Aktualisierungspaket ab. Vollständige Pakete enthalten Installer-Komponenten, während Teilpakete diese möglicherweise nicht enthalten. Websites, die zwischen Hauptversionen oder älteren WordPress-Versionszweigen aktualisiert werden, erhalten mit höherer Wahrscheinlichkeit vollständige Pakete. Unter WordPress 5.9 und höher kann der ältere Updater einen vorhersehbaren Namen für das temporäre Verzeichnis verwenden, wodurch sich das Risiko beim Übergang zu einer korrigierten Version erhöht.
Empfohlene Gegenmaßnahmen
Administratoren sollten Webanfragen an wp-content/upgrade vor der Durchführung eines Updates blockieren und WordPress gleichzeitig weiterhin die lokale Nutzung des Verzeichnisses erlauben. Die Einschränkung kann in der Webserver-Konfiguration oder, falls erforderlich, über eine geeignete Apache-Regel auf Root-Ebene umgesetzt werden.
- Bestätigen Sie, dass Anfragen an das Upgrade-Verzeichnis mit einer Zugriff-verweigert-Antwort beantwortet werden.
- Installieren Sie WordPress 7.1.4 oder das korrigierte Release, das für den verwendeten unterstützten Versionszweig verfügbar ist.
- Erwägen Sie, Core-Dateien manuell von einem Ort außerhalb des Web-Roots zu aktualisieren, falls die Serversteuerung nicht geändert werden kann.
- Überprüfen Sie Protokolle und Dateien auf unerwartete Anfragen oder PHP-Dateien in wp-content/upgrade sowie auf unbekannte Administratorkonten oder Plugins.
Der standardmäßige Core-Update-Befehl von WP-CLI beseitigt das Problem möglicherweise nicht, da er denselben zugrunde liegenden Updater-Workflow verwendet. WordPress-Versionen 4.6 und älter werden nicht mehr unterstützt und sollten auf ein gepflegtes Release migriert werden.