Installing the Fix for an Exploited WordPress Flaw Can Expose Some Sites One Last Time
Atualizar um site WordPress para corrigir falha explorada pode permitir execução remota porque o instalador desempacota arquivos usando o código antigo não corrigido, criando uma janela de ataque.
Pesquisador Umut Bayram descobriu que a correção para CVE-2026-119977 pode expor sites WordPress durante o próprio processo de update: o instalador é desempacotado em wp-content/upgrade usando o código antigo, previsível em 4.7 até 7.1.3, permitindo que um atacante que descubra o nome da pasta acesse o instalador temporário, escreva um wp-config.php e execute PHP com permissões do servidor. O exploit permite ler/escrever arquivos do site em produção; a CISA adicionou a falha ao seu catálogo e a WordPress lançou o fix em 7.1.4 (e em releases backport para ramos desde 4.7). Wordfence observou tentativas de ataque minutos após a liberação; CVSS 8.1 foi atribuído.
O pesquisador recomenda bloquear acesso web ao /wp-content/upgrade (ex.: Nginx location ^~ /wp-content/upgrade/ { deny all; }), ou atualizar manualmente fora do web root; WP-CLI não evita a janela, pois usa o mesmo updater. Sites sem suporte (≤4.6) não têm correção e devem migrar.
- #wordpress
- #exploit
- #vulnerability
- #cve
Segundo The Hacker News(abre em nova aba)· fonte oficial pendente