Агентство CISA внесло уязвимость ядра WordPress в каталог Known Exploited Vulnerabilities (KEV - перечень уязвимостей с подтверждённой эксплуатацией). Включение в KEV означает, что проблему уже применяют в реальных атаках, а не только нашли в коде. Речь о состоянии гонки, которое позволяет выполнить код на сервере без учётной записи в момент обновления ядра. Затронуты ветки WordPress с 4.7 по 7.1.
Состояние гонки CVE-2026-119977 при обновлении ядра
Запись вышла 31 октября 2026 года, а 3 ноября CISA добавила её в KEV. Оценка CVSS - 8,1 из 10, уровень High. В разметке SSVC агентство отмечает активную эксплуатацию и полное техническое воздействие; автоматизацию атак при этом не фиксирует, то есть полностью автоматической такую эксплуатацию CISA не считает. Идентификатор CVE назначила компания Wordfence, она же ведёт запись, а её статус - опубликована.
Для администраторов KEV служит рабочим ориентиром приоритизации: попадание в него подтверждает, что уязвимость используют, а не просто описали публично. Публичное раскрытие сведений состоялось 28 октября, запись CVE появилась 31 октября, а 3 ноября пришло сообщение о реальных атаках. Такая последовательность говорит о быстром переходе от раскрытия к эксплуатации.
Запись расписывает затронутые выпуски по веткам - от 4.7.0 до 7.1.3 включительно. Версии ядра вне этих веток в списках не значатся, поэтому по предварительным данным они не затронуты. При этом номера исправленной версии в записи нет, так что границу между уязвимым и исправленным кодом источник не обозначил.
Причина ошибки - в устройстве полного обновления ядра. Сайт скачивает пакет и раскладывает его файлы по путям, которые легко предугадать и которые открыты через веб. Класс проблемы называют состоянием гонки TOCTOU (time-of-check to time-of-use): проверка и использование разнесены во времени. Пока между ними остаётся зазор, злоумышленник успевает подменить содержимое и добиться выполнения своего кода.
Условия атаки в записи изложены только текстом, поля вектора остались пустыми. Из описания следует, что доступ идёт по сети, а учётные данные не нужны. Участие пользователя не упоминается вовсе. Значит, барьером служит лишь время: сработать нужно, пока идёт обновление. Требования к точности такого тайминга автор описания не раскрывает, поэтому детали придётся отслеживать по обновлениям записи CVE.
Ядро входит в любую установку WordPress, поэтому речь не об отдельном плагине или теме. Риск сужается до промежутка, когда на сайте идёт обновление ядра: вне этого окна описанный сценарий не работает. Вместе с записью в KEV это меняет порядок работ - плановое обновление теперь проходит на фоне подтверждённой эксплуатации.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-119977
- https://www.wordfence.com/threat-intel/vulnerabilities/id/4b4da0cf-d9f4-47c4-a0e8-6c4dc5a6f250
- https://wordpress.org/news/2026/10/wordpress-7-1-4/
- https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog
