CISA, WordPress Core'daki yükseltme sırasında sömürülen bir açığı bilinen sömürülen açıklar listesine ekledi

CVE-2026-119977 numaralı ve CVSS 8.1 puanlı açık, kimlik doğrulaması olmadan sunucuda kod çalıştırılmasına izin verebiliyor; federal kurumların yamayı 6 Kasım 2026'ya kadar uygulaması isteniyor.

CISA, WordPress Core'da yüksek şiddetli bir açığı, CVE-2026-119977 numaralı kaydı ve CVSS 8.1 puanını, Bilinen Sömürülen Açıklar kataloğuna ekledi. CISA bu kararı aktif saldırıların doğrulanmasının ardından aldı.

Açık bir yarış durumundan (TOCTOU, kontrol ile kullanım arasındaki zaman farkı) kaynaklanıyor. Tam paket çekirdek yükseltmesi sırasında kullanılan hazırlama yolları önceden tahmin edilebilir ve web üzerinden erişilebilir durumda. Bu nedenle kimlik doğrulaması olmayan bir saldırgan, yükseltme penceresinde sunucuda kod çalıştırabiliyor.

Wordfence, açığın duyurulmasından sonraki ilk 21 saatte hazırlanmış setup-config.php kurulum yollarını hedefleyen 18.500'den fazla istek kaydettiğini bildirdi. Yazının yazıldığı sırada son 24 saatte bu açığı sömürmeye yönelik 12.632 saldırı engellenmişti. Previdian ise 30 Ekim 2026'da, bir Birleşik Krallık konumlu IP adresinden, bal küpü sunucularına yönelik üç sömürme girişimi gözlemlediğini açıkladı.

Yamalar geçen ayın sonunda yayımlandı. Federal Sivil Yürütme Kurumları'nın yamaları uygulamak için 6 Kasım 2026'ya kadar süresi var.