A CISA szerint már kihasználják a WordPress egyik szerveroldali hibáját
Bejelentkezés nélkül is kódot futtathatnak a támadók a szerveren a WordPress Core egyik hibája miatt. A CISA november 3-án felvette a sebezhetőséget a bizonyítottan kihasznált hibák listájára.
Frissítés (2026. november 7.): újabb cikkünk az ügyről
Már kihasználják a WordPress egyik hibáját, külön bővítményt is érint veszély
Fontos
Aktívan kihasznált, kritikus: CVSS 8.1
A teljes csomagos frissítés idején támadható
A CVE-2026-119977 azonosítójú hiba a WordPress Core 4.7-től 7.1.3-ig terjedő verzióit érinti. A CISA leírása szerint a teljes csomaggal végzett rendszerfrissítés során kiszámítható, a weben keresztül elérhető ideiglenes útvonalakat használ a rendszer.
Ezt kihasználva a támadók a frissítés ideje alatt bejelentkezés nélkül futtathatnak kódot a szerveren. A hiba műszaki súlyossága a CVSS-skálán 8,1, ami magas besorolásnak felel meg.
A gyártó útmutatása alapján kell elhárítani
A CISA a gyártó útmutatásának megfelelő elhárítást ír elő. Az amerikai szövetségi szervek számára 2026. november 6. a javítás határideje; ez a dátum nem általános határidő a WordPress használói számára.
Az elérhető forrás nem nevez meg javított verziót. Arról sincs ismert adat, hogy a sebezhetőséget zsarolóvírusos támadásokban is kihasználták-e.
Az ügy eddig
- A CISA szerint már kihasználják a WordPress egyik szerveroldali hibáját (ez a cikk)
- Már kihasználják a WordPress egyik hibáját, külön bővítményt is érint veszély
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum