Krátké období při aktualizaci jádra WordPressu může útočník využít ke spuštění kódu na serveru bez přihlášení. Oprava mění práci s dočasnými instalačními soubory; správci mají ověřit skutečně nasazenou verzi i případné stopy útoku.

CISA přidala 3. listopadu do katalogu KEV zranitelnost CVE-2026-119977 v jádru WordPressu. Wordfence jí přiděluje skóre CVSS 3.1 ve výši 8,1. Chyba se týká aktualizací prováděných pomocí úplného balíčku jádra: rozbalené instalační soubory se dočasně nacházejí na předvídatelné cestě dostupné přes web. Útočník může tento stav využít během probíhajícího upgradu a spustit vlastní kód.

Jde o časový souběh označovaný jako TOCTOU, tedy problém mezi kontrolou určitého stavu a jeho následným použitím. Pro úspěch nestačí pouze existence starší verze; musí nastat příslušné aktualizační okno a dočasné soubory musí být dosažitelné. Vyšší složitost útoku je zahrnuta i v hodnocení CVSS. Přihlašovací údaje útočník nepotřebuje a výsledkem může být zásah do důvěrnosti, integrity i dostupnosti webu.

Oprava je součástí WordPressu 7.1.4 vydaného 28. října. Ve zdrojovém kódu této verze přibyl nepředvídatelný název pracovního adresáře s náhodnou příponou. Aktualizační mechanismus také vytváří a zachovává soubor index.php, který brání běžnému výpisu obsahu nadřazeného adresáře. Tím se omezuje možnost dočasné umístění odhadnout nebo zjistit z adresářového seznamu. Změna řeší způsob přípravy aktualizace, nikoli konkrétní plugin či šablonu webu.

Dotčené jsou neopravené větve od WordPressu 4.7 do 7.1. U novějších řad Wordfence uvádí opravy 7.1.4, 7.0.8, 6.9.11, 6.8.12, 6.7.11 a 6.6.11; přehled obsahuje i další starší větve až po 4.7.39. Provozovatelé starších instalací proto musí porovnat přesné číslo své verze s tabulkou oprav, nikoli pouze hlavní řadu. Projekt WordPress zároveň připomíná, že aktivně podporuje pouze nejnovější verzi; zpětné přenesení bezpečnostní opravy není plnou podporou staré větve.