Administratorzy WordPressa są proszeni o ograniczenie dostępu do tymczasowego katalogu aktualizacji przed zastosowaniem poprawek dla CVE-2026-119977, aktywnie wykorzystywanej podatności dotyczącej wersji WordPressa od 4.7 do 7.1.3.
Według badacza bezpieczeństwa Umuta Bayrama z Picus Security niektóre witryny mogą pozostawać narażone podczas samego procesu aktualizacji. Chociaż WordPress 7.1.4 oraz wydania obsługiwanych gałęzi rozwiązują ten problem, starszy kod aktualizatora może nadal rozpakowywać pakiet aktualizacji do dostępnego z sieci tymczasowego katalogu, zanim zaczną obowiązywać nowe zabezpieczenia.
Problem dotyczy plików umieszczanych w wp-content/upgrade. Podczas niektórych aktualizacji rdzenia WordPress rozpakowuje w tej lokalizacji pełny pakiet wydania. Jeśli atakujący potrafi przewidzieć lub wykryć nazwę tymczasowego folderu i uzyska dostęp do plików instalatora, zanim zostaną usunięte, może być w stanie wykonać kod z uprawnieniami serwera WWW.
CISA dodała tę podatność do swojego katalogu Known Exploited Vulnerabilities. Wordfence poinformował o zaobserwowaniu aktywności atakujących wkrótce po opublikowaniu reguły zapory dla tej luki, w tym zachowań zgodnych z próbami atakowania witryn w trakcie aktualizacji.
Kto może być dotknięty problemem
Poziom narażenia zależy od pakietu aktualizacji dostarczonego do witryny. Pełne pakiety zawierają komponenty instalatora, podczas gdy pakiety częściowe mogą ich nie zawierać. Witryny aktualizowane między głównymi lub starszymi gałęziami WordPressa częściej otrzymują pełne pakiety. W WordPressie 5.9 i nowszych wersjach starszy aktualizator może używać przewidywalnej nazwy tymczasowego katalogu, zwiększając ryzyko podczas przechodzenia na poprawioną wersję.
Zalecane działania ograniczające ryzyko
Administratorzy powinni blokować żądania WWW do wp-content/upgrade przed uruchomieniem aktualizacji, jednocześnie umożliwiając WordPressowi dalsze lokalne korzystanie z tego katalogu. Ograniczenie można zastosować w konfiguracji serwera WWW lub, w razie potrzeby, za pomocą odpowiedniej reguły Apache na poziomie katalogu głównego.
- Potwierdź, że żądania do katalogu upgrade zwracają odpowiedź o odmowie dostępu.
- Zainstaluj WordPress 7.1.4 lub poprawione wydanie dostępne dla używanej obsługiwanej gałęzi.
- Rozważ ręczną aktualizację plików rdzenia z lokalizacji znajdującej się poza katalogiem głównym serwera WWW, jeśli nie można zmienić mechanizmów kontroli serwera.
- Przejrzyj logi i pliki pod kątem nieoczekiwanych żądań lub plików PHP w wp-content/upgrade, a także nieznanych kont administratorów lub wtyczek.
Standardowe polecenie aktualizacji rdzenia WP-CLI może nie wyeliminować problemu, ponieważ korzysta z tego samego bazowego procesu aktualizatora. WordPress w wersji 4.6 i wcześniejszych nie jest obsługiwany i powinien zostać zmigrowany do utrzymywanego wydania.