CISA ने वर्डप्रेस कोर खामी के शोषण की पुष्टि की

person using black laptop computer on brown wooden table — Dell / Unsplash

यू.एस. साइबरसिक्योरिटी और इन्फ्रास्ट्रक्चर सिक्योरिटी एजेंसी (CISA) ने वर्डप्रेस कोर में एक सुरक्षा खामी को ज्ञात शोषित कमजोरियों (KEV) सूची में जोड़ा है, जिसका सक्रिय शोषण का सबूत है।

यह उच्च-गंभीर खामी, जिसे CVE-2026-119977 के रूप में ट्रैक किया गया है (CVSS स्कोर: 8.1), एक समय-की-जांच समय-की-उपयोग (TOCTOU) रेस स्थिति का मामला है, जिसे प्रभावित सर्वरों पर मनमाना कोड निष्पादन प्राप्त करने के लिए शोषित किया जा सकता है। इस खामी के लिए पैच पिछले महीने जारी किए गए थे।

CISA ने कहा, "वर्डप्रेस कोर में एक समय-की-जांच समय-की-उपयोग (TOCTOU) रेस स्थिति की सुरक्षा खामी है जो अनधिकृत हमलावरों को अपग्रेड विंडो के दौरान सर्वर पर कोड निष्पादित करने की अनुमति दे सकती है।"

खामी के विवरण पिछले सप्ताह सामने आए जब वर्डफेंस ने कहा कि खामी का शोषण करने के लिए साइट पर एक खाता होना आवश्यक नहीं है। हालांकि, यह एक हमलावर को पूरी कोर अपडेट के दौरान एक संक्षिप्त विंडो का शोषण करने की आवश्यकता है, जो अनधिकृत कोड निष्पादन की अनुमति दे सकता है।

सार्वजनिक घोषणा के पहले 21 घंटों के दौरान, वर्डप्रेस सुरक्षा कंपनी ने कहा कि उसने स्टेज्ड "setup-config.php" इंस्टॉलर पाथ पर 18,500 से अधिक अनुरोधों का रिकॉर्ड किया। लेखन के समय, पिछले 24 घंटों में खामी का शोषण करने का प्रयास करने वाले 12,632 हमले अवरुद्ध किए गए हैं।