Перейти к содержимому
Noroxi
CVE.org (no NVD analysis yet)· CNA Wordfence

CVE-2026-119977: WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution

Оценка Noroxi

Приоритет: На этой неделе (оценка срочности 62/100)

  • CISA подтвердило эксплуатацию в реальных атаках (3 нояб. 2026 г.). Срок устранения для федеральных ведомств США: 6 нояб. 2026 г.
  • Вероятность эксплуатации в ближайшие 30 дней: 1,1% (FIRST EPSS); выше, чем у 67,2% записей.
  • Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
  • Исправленная версия: wordpress (Debian:13) 6.8.12+dfsg1-0+deb13u1; wordpress (Debian:14) 7.1.4+dfsg1-1.
  • Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Не ждите следующего окна обслуживания. Обновитесь до wordpress (Debian:13) 6.8.12+dfsg1-0+deb13u1; wordpress (Debian:14) 7.1.4+dfsg1-1 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.

ВысокаяCVSS 8.1 · v3.1KEVГотовый эксплойт Есть исправление
Опубликовано
31 окт. 2026 г.
Обновлено
4 нояб. 2026 г.
EPSS
1,1 % · 67-й процентиль

Инструменты для отчёта

JSON

Оценка срочности

62

На этой неделе

Не ждите следующего окна обслуживания.

CVSS
32 / 40 · 8.1 / 10
CISA KEV
30 / 30 · В списке
EPSS
0 / 30 · 1,1 %

Решение CISA SSVC

Эксплуатация
активная
Автоматизируемо
нет
Техническое влияние
полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD
—
CNA · Wordfence
8,1
NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 3 нояб. 2026 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 6 нояб. 2026 г..

WordPress есть на вашем сайте?

WP Lens снаружи определяет версии плагинов, тем и WordPress на вашем сайте и сопоставляет их с известными уязвимостями. Работает без аккаунта.

Следить за CVE-2026-119977

WordPress есть на вашем сайте?

Когда мы напишем

  • когда запись попадёт в CISA KEV
  • когда появится или станет боевым эксплойт
  • когда запись обновится (в том числе исправленная версия)
  • когда EPSS вырастет на 20 пунктов за неделю

Одна сводка в день по почте (06:00 UTC); с вебхуком попадание в KEV и боевые эксплойты — сразу.

С бесплатным аккаунтом также

  • Оповещения по стеку: добавьте свои продукты и версии — новые CVE для них придут вам
  • Мониторинг сайта: 1 сайт, письмо сразу при недоступности
  • Добавьте домен: поддомены и риск захвата проверяются каждую неделю (1 домен)
  • 10 проверок в час в инструментах безопасности (без аккаунта — 3 в день), API-ключ и MCP
  • Все сканирования в одной панели: находки, изменения с прошлого сканирования, отчёт по домену или клиенту (PDF, ссылка для просмотра)
Все бесплатные инструменты

Регистрация по почте · Уже есть аккаунт? Войти

Бесплатный аккаунт, без карты. Отписаться можно в любой момент.

Не хотите аккаунт? Сводка «Эксплуатируется на этой неделе» по понедельникамНе хотите аккаунт? RSS-лента записей wordpress
Если что-то из этого изменится, сообщим в ежедневной сводке.
Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

ВендорПродукт
wordpresswordpress

Используете wordpress? Добавьте в свой стек и первыми узнавайте о подобных CVE. (WordPress)

Новые CVE для wordpress

Когда мы напишем

  • когда выйдет новая CVE для этого продукта
  • когда запись из вашего стека попадёт в KEV или получит эксплойт

Одна сводка в день по почте (06:00 UTC); с вебхуком попадание в KEV и боевые эксплойты — сразу.

С бесплатным аккаунтом также

У вас WordPress? Проверьте сайт бесплатно в WP Lens

  • Оповещения по стеку: добавьте свои продукты и версии — новые CVE для них придут вам
  • Мониторинг сайта: 1 сайт, письмо сразу при недоступности
  • Добавьте домен: поддомены и риск захвата проверяются каждую неделю (1 домен)
  • 10 проверок в час в инструментах безопасности (без аккаунта — 3 в день), API-ключ и MCP
  • Все сканирования в одной панели: находки, изменения с прошлого сканирования, отчёт по домену или клиенту (PDF, ссылка для просмотра)
Все бесплатные инструменты

Регистрация по почте · Уже есть аккаунт? Войти

Бесплатный аккаунт, без карты. Отписаться можно в любой момент.

Не хотите аккаунт? Сводка «Эксплуатируется на этой неделе» по понедельникам

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

  • wordpress wordpress4.7 и новее · до 4.7.39
  • wordpress wordpress4.8 и новее · до 4.8.34
  • wordpress wordpress4.9 и новее · до 4.9.35
  • wordpress wordpress5.0 и новее · до 5.0.31
  • wordpress wordpress5.1 и новее · до 5.1.28
  • wordpress wordpress5.2 и новее · до 5.2.30
  • wordpress wordpress5.3 и новее · до 5.3.27
  • wordpress wordpress5.4 и новее · до 5.4.25
  • wordpress wordpress5.5 и новее · до 5.5.24
  • wordpress wordpress5.6 и новее · до 5.6.23
  • wordpress wordpress5.7 и новее · до 5.7.21
  • wordpress wordpress5.8 и новее · до 5.8.19
  • wordpress wordpress5.9 и новее · до 5.9.20
  • wordpress wordpress6.0 и новее · до 6.0.18
  • wordpress wordpress6.1 и новее · до 6.1.16
  • wordpress wordpress6.2 и новее · до 6.2.15
  • wordpress wordpress6.3 и новее · до 6.3.14
  • wordpress wordpress6.4 и новее · до 6.4.14
  • wordpress wordpress6.5 и новее · до 6.5.14
  • wordpress wordpress6.6 и новее · до 6.6.11

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Wordfence). Не зависят от анализа CPE в NVD и обычно опережают его.

  • WordPress Foundation WordPress

    • 4.7.0 и новее · до 4.7.38 включительнозатронута · semver
    • 4.8.0 и новее · до 4.8.33 включительнозатронута · semver
    • 4.9.0 и новее · до 4.9.34 включительнозатронута · semver
    • 5.0.0 и новее · до 5.0.30 включительнозатронута · semver
    • 5.1.0 и новее · до 5.1.27 включительнозатронута · semver
    • 5.2.0 и новее · до 5.2.29 включительнозатронута · semver
    • 5.3.0 и новее · до 5.3.26 включительнозатронута · semver
    • 5.4.0 и новее · до 5.4.24 включительнозатронута · semver
    • 5.5.0 и новее · до 5.5.23 включительнозатронута · semver
    • 5.6.0 и новее · до 5.6.22 включительнозатронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

ЭкосистемаПакетЗатронутый диапазонИсправление
Debian:12wordpressс 0—
Debian:13wordpressдо 6.8.12+dfsg1-0+deb13u16.8.12+dfsg1-0+deb13u1
Debian:14wordpressдо 7.1.4+dfsg1-17.1.4+dfsg1-1

Тот же продукт

wordpress: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

  • CVE-2026-87902An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the KEV
    91Срочно
  • CVE-2026-63030WordPress < 7.0.2 - REST API batch-route confusion and SQL injection issue leading to Remote Code ExecutionKEV
    72На этой неделе
  • CVE-2026-60137WordPress < 7.0.2 - Facilitated SQL Injection via author__not_in in WP_QueryKEV
    60На этой неделе

Опубликованы до и после этой записи в том же продукте

  • ← РаньшеCVE-2025-5867423 сент. 2025 г. · WordPress <= 6.8.2 - (Author+) Cross Site Scripting (XSS) Vulnerability
    23Наблюдать
  • ← РаньшеCVE-2026-646387 авг. 2026 г. · WordPress is vulnerable to a pre-auth reflected XSS vulnerability on the login screen.
    35Наблюдать
  • ← РаньшеCVE-2026-6564017 авг. 2026 г. · WordPress is vulnerable to a remote code execution vulnerability via malicious Postscript file upload by an Author level user or higher.
    36Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакетИсправленная версияИсточник
debian:wordpress6.8.12+dfsg1-0+deb13u1 · Debian:13Реестр пакетов (OSV)

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

  • Репозиторий PoC на GitHub ×8

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
ИсточникТипДата
Репозиторий PoC на GitHubstars:12021-11-15
Репозиторий PoC на GitHubstars:02026-11-04
Репозиторий PoC на GitHubstars:52026-11-04
Репозиторий PoC на GitHubstars:62026-11-04
Репозиторий PoC на GitHubstars:42026-11-05
Репозиторий PoC на GitHubstars:02026-11-07
Репозиторий PoC на GitHubstars:12026-11-08
Репозиторий PoC на GitHubstars:22026-11-08

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

  1. Первый PoC-1811 дн.
  2. Публикация
  3. CISA KEV+3 дн.
  4. Исправление+6 дн.
  5. Сегодня10 нояб. 2026 г.+10 дн.
EPSS за 120 дней+1 % за 7 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

Все национальные уведомления →

Технические детали

Условия атаки

  • Может быть вызвана любым, у кого есть доступ через интернет.
  • Учётная запись или пароль не требуются.
  • Действия пользователя не требуются.
  • Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность
высокое · данные могут быть прочитаны
Целостность
высокое · данные или конфигурация могут быть изменены
Доступность
высокое · работа сервиса может быть нарушена
Вектор атаки
Сеть
Сложность атаки
Высокая
Требуемые привилегии
Не требуются
Взаимодействие с пользователем
Не требуется
Область действия
Не изменяется
Влияние на конфиденциальность
Высокое
Влияние на целостность
Высокое
Влияние на доступность
Высокое

Класс уязвимости (CWE)

CWE-367 · Time-of-check Time-of-use (TOCTOU) Race Condition

Вектор CVSS

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-secondary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Техники ATT&CK

—

Журнал изменений

  1. Исправление✗ → ✓
  2. Эксплуатация SSVC— → active
  3. Зрелость эксплойтаnone → weaponized
  4. KEV✗ → ✓
  5. Зрелость эксплойта— → none

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Показать все источники (ещё 9)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи