Krytyczna luka bezpieczeństwa w WordPressie może pozwolić atakującym przejąć kontrolę nad stronami bez logowania — zgodnie z raportem Hokanews. Luka dotyczy wersji od 4.7 do 7.1.3 i wykorzystuje krótki moment podczas procesu aktualizacji platformy, gdy jej instalator staje się tymczasowo dostępny w publicznym katalogu.

WordPress obsługuje 39,5% wszystkich stron internetowych, według informacji udostępnionych przez Coin Bureau, co oznacza, że około cztery na dziesięć stron działa na tym samym oprogramowaniu bazowym. Taka skala nadaje zgłoszonej słabości potencjalnie szeroki zasięg, ponieważ dotyczy ona samego procesu aktualizacji platformy, a nie pojedynczej wtyczki czy motywu. Obawy koncentrują się wokół możliwości, że atakujący mogą być w stanie wykonać własny kod bezpośrednio na serwerze strony podczas pełnej aktualizacji — co może przełożyć się na nieautoryzowaną kontrolę nad samą stroną.

Jak działa luka

Podczas pełnej aktualizacji WordPressa platforma krótko umieszcza swój instalator w publicznie dostępnym katalogu. Według Coin Bureau atakujący, który dotrze do tej lokalizacji w krótkim oknie czasowym, może uruchomić własny kod na serwerze. Ponieważ ekspozycja istnieje tylko w trakcie trwania aktualizacji, ryzyko wiąże się z tym tymczasowym okresem, a nie z trwale otwartym punktem wejścia.

Luka nie wymaga od atakującego zalogowania się do dotkniętej strony WordPressa. Zamiast tego atak wykorzystuje tymczasową ekspozycję powstałą podczas procesu aktualizacji, co potencjalnie umożliwia nieautoryzowaną kontrolę nad stroną.

Luka dotyczy każdej wersji WordPressa od 4.7 do 7.1.3. Ten zakres obejmuje niemal 10 lat wydań, sięgających grudnia 2016 roku, według informacji zgłoszonych przez Coin Bureau. Tak szeroki zakres obejmuje instalacje o bardzo różnym wieku, a nie tylko najnowsze wersje.

Wordfence sygnalizuje lukę CVE-2026-119977

Firma bezpieczeństwa Wordfence zasygnalizowała problem, który jest teraz rejestrowany pod identyfikatorem CVE-2026-119977. Oznaczenie CVE to standardowy system identyfikatorów służący do katalogowania publicznie ujawnionych luk w oprogramowaniu, dający badaczom i właścicielom stron wspólny punkt odniesienia dla tej samej słabości. Luka przyczyniła się również do uruchomienia działań ochronnych firewalla — Wordfence zanotował pierwszy blok zaledwie dziewięć minut po włączeniu ochrony.

Zgłoszony czas wskazuje, że firewall rozpoczął blokowanie aktywności związanej z luką krótko po aktywacji ochrony. Raport jednak nie określa liczby prób ataków ani tego, ile stron mogło zostać dotkniętych. Te dwie liczby pozostają głównymi otwartymi pytaniami wokół luki, ponieważ pokazałyby, ile aktywności faktycznie przyciągnęła.

Skoro w zgłoszonym dotkniętym zakresie znajdują się wersje od 4.7 do 7.1.3, luka dotyczy szerokiego zakresu wydań WordPressa. Tymczasowa ekspozycja instalatora podczas pełnych aktualizacji to konkretna słabość opisana w raporcie.

Oryginalny raport napisała Victoria Hale, autorka tekstów o technologii i blockchainie w Hokanews.