Gli amministratori di WordPress sono invitati a limitare l'accesso a una directory temporanea di aggiornamento prima di applicare le correzioni per CVE-2026-119977, una vulnerabilità sfruttata attivamente che interessa le versioni di WordPress dalla 4.7 alla 7.1.3.
Secondo il ricercatore di sicurezza Umut Bayram di Picus Security, alcuni siti potrebbero rimanere esposti durante lo stesso processo di aggiornamento. Sebbene WordPress 7.1.4 e le versioni dei rami supportati risolvano il problema, il codice di aggiornamento meno recente può comunque decomprimere il pacchetto di aggiornamento in una directory temporanea accessibile dal web prima che le nuove protezioni entrino in vigore.
Il problema riguarda i file inseriti in wp-content/upgrade. Durante alcuni aggiornamenti del core, WordPress estrae in tale posizione un pacchetto completo della versione. Se un attaccante riesce a prevedere o individuare il nome della cartella temporanea e a raggiungere i file dell'installer prima che vengano rimossi, potrebbe essere in grado di eseguire codice con i permessi del server web.
CISA ha aggiunto la vulnerabilità al proprio catalogo delle Vulnerabilità sfruttate note. Wordfence ha riferito di aver osservato attività di attacco poco dopo aver rilasciato una regola firewall per la vulnerabilità, incluso un comportamento coerente con tentativi di colpire siti mentre gli aggiornamenti erano in corso.
Chi potrebbe essere interessato
Il livello di esposizione dipende dal pacchetto di aggiornamento distribuito al sito. I pacchetti completi includono componenti dell'installer, mentre quelli parziali potrebbero non includerli. I siti che eseguono l'aggiornamento tra versioni principali o rami WordPress meno recenti hanno maggiori probabilità di ricevere pacchetti completi. In WordPress 5.9 e versioni successive, il programma di aggiornamento meno recente può utilizzare un nome prevedibile per la directory temporanea, aumentando il rischio durante la transizione a una versione corretta.
Mitigazione consigliata
Gli amministratori dovrebbero negare le richieste web a wp-content/upgrade prima di eseguire un aggiornamento, consentendo al contempo a WordPress di continuare a utilizzare la directory localmente. La restrizione può essere applicata nella configurazione del server web o, ove necessario, tramite un'appropriata regola Apache a livello della directory radice.
- Verificare che le richieste alla directory di aggiornamento restituiscano una risposta di accesso negato.
- Installare WordPress 7.1.4 o la versione corretta disponibile per il ramo supportato in uso.
- Valutare l'aggiornamento manuale dei file del core da una posizione esterna alla root web se non è possibile modificare i controlli del server.
- Esaminare log e file alla ricerca di richieste inattese o file PHP all'interno di wp-content/upgrade, nonché di account amministratore o plugin sconosciuti.
Il comando standard di aggiornamento del core di WP-CLI potrebbe non eliminare il problema, poiché utilizza lo stesso flusso di lavoro dell'updater sottostante. Le versioni di WordPress 4.6 e precedenti non sono supportate e dovrebbero essere migrate a una versione mantenuta.