CISA bevestigt uitbuiting van lek in WordPress Core tijdens software-upgrades

Close-up of white and black piano keys — Zulfugar Karimov / Unsplash

De Cybersecurity and Infrastructure Security Agency (CISA) heeft een beveiligingslek in WordPress Core toegevoegd aan de catalogus van bekende uitgebute kwetsbaarheden, omdat er bewijs is van actieve uitbuiting.

De kwetsbaarheid met een hoge ernst wordt gevolgd als CVE-2026-119977 en heeft een CVSS-score van 8,1. Het betreft een raceconditie van het type tijdstip van controle en tijdstip van gebruik, wat kan leiden tot het uitvoeren van willekeurige code op getroffen servers. Dit is mogelijk door voorspelbare, via het web toegankelijke staging-paden die worden gebruikt tijdens volledige upgrades van de kern.

Volgens Wordfence is er geen account op de site nodig om het lek te benutten, maar moet een aanvaller een kort tijdsbestek tijdens een volledige update gebruiken. In de eerste 21 uur na de openbare bekendmaking werden meer dan 18.500 verzoeken geregistreerd die gericht waren op installer-paden. In de laatste 24 uur zijn 12.632 pogingen geblokkeerd.

Previdian rapporteerde drie pogingen tot uitbuiting op 30 oktober 2026 via honeypot-sensoren vanaf een IP-adres in het Verenigd Koninkrijk. Correcties voor het lek zijn eind vorige maand uitgebracht. Federale agentschappen van de civiele uitvoerende macht hebben tot 6 november 2026 de tijd om de fixes toe te passen.