CISA מזהירה: האקרים מנצלים פגיעות בליבת WordPress בת 18 שנים

לפי Hackread, CISA הזהירה כי תוקפים מנצלים פגיעות בליבת WordPress, שמזוהה כ־CVE-2026-119977, הפוגעת באופן שבו מנגנון העדכון מטפל בקובצי התקנה זמניים ועלולה לאפשר הרצת קוד מרחוק ללא חשבון באתר המותקף. הפגם התגלה על ידי Umut Bayram, חוקר אבטחה ב־Picus Security, מדורג ב־CVSS בציון 8.1, והתווסף לקטלוג Known Exploited Vulnerabilities של CISA ב־3 בנובמבר. Bayram איתר את מקור ההתנהגות הבעייתית בגרסה WordPress 2.7, שיצאה ב־2008.

לפי הדיווח, WordPress הוציאה ב־28 באוקטובר את גרסה 7.1.4 כדי לטפל בפגיעות, ותיקוני אבטחה הועברו לענפים ישנים יותר עד גרסה 4.7. הגרסאות 2.7 עד 4.6 לא קיבלו את התיקון, וכדאי לשדרג אותן. Bayram ממליץ לחסום גישת אינטרנט לתיקייה wp-content/upgrade/ לפני תחילת העדכון, ואומר כי פקודת wp core update רגילה אינה תחליף להחלפה ידנית של קובצי הליבה מגרסה שחולצה מחוץ לתיקיית האינטרנט הציבורית.

למה זה חשוב למנהלי אתרי WordPress שמריצים גרסאות 2.7 עד 4.6 אין תיקון בענף שבו הם פועלים, והם צריכים לשדרג, ואילו אתרים בגרסאות פגיעות שמתעדכנים דרך מנגנון העדכון הקיים נותרים חשופים בחלון העדכון. חוקרים צריכים לשים לב שהניתוח של החוקר עצמו, ולא ייחוס של CISA, מתאר את נתיב התקיפה, וכי CISA לא נקבה בשמות התוקפים ולא מסרה כמה אתרים נפרצו. מומלץ לבדוק אם התיקייה wp-content/upgrade/ נגישה דרך האינטרנט לפני התיקון, ולסקור את חשבונות המנהלים לאיתור תוספות בלתי צפויות.