CISA bestätigt aktive Ausnutzung einer WordPress-Schwachstelle während Updates

Close-up of a dark laptop keyboard — Rodrigo Tadeo / Unsplash

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit hat bestätigt, dass Angreifer eine Schwachstelle im Kern von WordPress aktiv ausnutzen. Die Behörde hat diese Sicherheitslücke in das Verzeichnis bekannter ausgenutzter Schwachstellen aufgenommen.

Die als hochkritisch eingestufte Verwundbarkeit wird unter der Kennung CVE-2026-119977 verfolgt und weist eine Bewertung von 8,1 auf. Es handelt sich um eine Wettlaufbedingung, die während der Überprüfung und Nutzung auftritt. Angreifer könnten diese Lücke ausnutzen, um beliebigen Code auf betroffenen Servern auszuführen. Patches für diese Schwachstelle wurden Ende des vergangenen Monats veröffentlicht.

Die Behörde erklärte, dass der Kern von WordPress eine Wettlaufbedingung enthält, die es nicht authentifizierten Angreifern ermöglichen könnte, Code während des Upgrade-Fensters auszuführen. Dies sei auf vorhersehbare, über das Web zugängliche Staging-Pfade zurückzuführen, die während vollständiger Kern-Updates verwendet werden.

Details zur Schwachstelle wurden bekannt, als das Sicherheitsunternehmen Wordfence berichtete, dass die Ausnutzung kein Konto auf der Website erfordert. Stattdessen muss ein Angreifer ein kurzes Zeitfenster während eines vollständigen Kern-Updates ausnutzen. Innerhalb der ersten einundzwanzig Stunden nach der öffentlichen Offenlegung registrierte das Unternehmen mehr als 18.500 Anfragen, die auf vorbereitete Installationspfade abzielten. In den letzten vierundzwanzig Stunden wurden 12.632 Angriffe blockiert.

Telemetriedaten von Previdian zeigen drei Ausnutzungsversuche gegen seine Honeypot-Sensoren von einer IP-Adresse, die im Vereinigten Königreich geortet wurde. Diese Ereignisse wurden am 30. Oktober 2026 beobachtet. Bundesbehörden haben bis zum 6. November 2026 Zeit, die Korrekturen anzuwenden.