סוכנות הסייבר האמריקאית CISA הוסיפה ב-3 בנובמבר את CVE-2026-119977 לרשימת החולשות שמנוצלות בפועל. מדובר בחולשה במנגנון העדכון של ליבת WordPress, בדרגת חומרה 8.1. היא משפיעה על גרסאות 2.7.0 עד 7.1.3.

איך זה עובד

בזמן עדכון ליבה, WordPress מחלץ את קובצי הגרסה החדשה לתיקייה זמנית בתוך wp-content/upgrade/. בגרסאות רבות שם התיקייה צפוי. תוקף שיודע אותו יכול, בחלון הזמן הקצר של העדכון, להגיע לקובצי ההתקנה הזמניים, לחבר את האתר למסד נתונים שבשליטתו, ליצור לעצמו משתמש מנהל ולהריץ קוד על השרת. זה לא דורש התחברות.

התיקון, והמלכודת

WordPress 7.1.4 יצאה ב-28 באוקטובר, והתיקון הועבר לכל הענפים הנתמכים עד גרסה 4.7. אבל חוקרי Picus מסבירים שיש בעיה דווקא בעדכון הראשון לגרסה המתוקנת. את חילוץ הקבצים עדיין מבצע הקוד הישן והפגיע, ולכן חלון ההזדמנות קיים גם במהלך העדכון ל-7.1.4.

מה עושים

  • בודקים באיזו גרסה האתר נמצא. אם הוא כבר ב-7.1.4 ומעלה, העדכונים הבאים בטוחים יותר.
  • לפני העדכון, חוסמים גישה מהרשת לתיקייה wp-content/upgrade/ ברמת השרת (Nginx או Apache), ומוודאים שבקשה אליה מחזירה 403.
  • אפשרות אחרת: עדכון ידני של קובצי הליבה, שלא דרך מנגנון העדכון של WordPress.
  • אחרי העדכון בודקים שלא נוספו משתמשי מנהל או תוספים שלא מוכרים לכם.

מקורות