סוכנות אבטחת הסייבר של ארהב מאשרת ניצול של פגיעות בליבת WordPress

A computer keyboard with a green light shining on it — Mohamed Marey / Unsplash

הסוכנות לאבטחת סייבר ותשתיות של ארהב, CISA, הוסיפה פגיעות אבטחה בליבת WordPress לקטלוג הפגיעות הידועות ככאלה שנוצלו, זאת בשל ראיות לניצול פעיל.

הפגיעות, המסווגת כבעלת חומרה גבוהה ומזוהה כ-CVE-2026-119977 עם ציון CVSS של 8.1, היא מקרה של תנאי מירוץ מסוג זמן בדיקה וזמן שימוש. פגיעות זו עשויה לאפשר ביצוע קוד שרירותי על שרתים מושפעים במהלך חלון זמן של שדרוג תוכנה, וזאת בשל נתיבי בימות צפויים ונגישים דרך הרשת המשמשים במהלך שדרוגי ליבה של חבילה מלאה.

פרטי הפגיעות עלו בשבוע שעבר, כאשר צוין כי ניצולה אינו דורש חשבון באתר. במהלך 21 השעות הראשונות לאחר הגילוי הפומבי, נרשמו יותר מ-18,500 בקשות שכיוונו לנתיבי מתקין של setup-config.php. ב-24 השעות האחרונות נחסמו 12,632 התקפות שניסו לנצל את הפגיעות.

נתוני טלמטריה מראים כי ב-30 באוקטובר 2026 נרשמו שלושה ניסיונות ניצול מכתובת אינטרנט הממוקמת בבריטניה. תיקונים לפגיעות שוחררו בסוף החודש שעבר, וסוכנויות של הרשות המבצעית האזרחית הפדרלית נדרשות להחיל אותם עד ה-6 בנובמבר 2026.