La CISA avertit que des pirates exploitent une vulnérabilité du cœur de WordPress vieille de 18 ans

Hackread rapporte que la CISA a averti que des attaquants exploitent une vulnérabilité du cœur de WordPress, référencée sous l’identifiant CVE-2026-119977, qui touche la manière dont le programme de mise à jour gère les fichiers d’installation temporaires et qui peut permettre l’exécution de code à distance sans compte sur le site visé. La faille a été découverte par Umut Bayram, chercheur en sécurité chez Picus Security, présente un score CVSS de 8,1 et a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 3 novembre. Bayram a fait remonter le comportement sous-jacent à WordPress 2.7, publié en 2008.

Selon le rapport, WordPress a publié la version 7.1.4 le 28 octobre pour corriger la vulnérabilité, et les correctifs de sécurité ont été rétroportés vers les branches plus anciennes jusqu’à la 4.7. Les versions 2.7 à 4.6 n’ont pas reçu le correctif et devraient être mises à niveau. Bayram recommande de refuser l’accès web à wp-content/upgrade/ avant de lancer la mise à jour, et indique qu’une commande standard wp core update ne remplace pas le remplacement manuel des fichiers du cœur à partir d’une version extraite en dehors du répertoire web public.

Pourquoi c’est important Les administrateurs de sites WordPress exécutant des versions 2.7 à 4.6 ne disposent d’aucun correctif dans la branche qu’ils utilisent et ont besoin de mettre à niveau, tandis que les sites sous des versions vulnérables qui se mettent à jour via le programme de mise à jour existant restent exposés pendant la fenêtre de mise à jour. Les enquêteurs devraient noter que c’est l’analyse du chercheur lui-même, et non une attribution de la CISA, qui décrit le chemin d’attaque, et que la CISA n’a ni nommé les attaquants ni indiqué combien de sites sont compromis. Les équipes devraient vérifier si wp-content/upgrade/ est accessible depuis le web avant d’appliquer le correctif et examiner les comptes administrateurs pour y repérer des ajouts inattendus.