הפגיעות CVE-2026-119977 בליבת וורדפרס מנוצלת בפועל, והתיקון זמין בגרסה 7.1.4. אבל לפי דיווח של The Hacker News, ההתקנה של התיקון עצמה עדיין חשופה: העדכון רץ בקוד המעדכן הישן שכבר מותקן באתר.
| מזהה | CVE-2026-119977 |
| מוצר וגרסאות | וורדפרס 4.7 עד 7.1.3 |
| חומרה | 8.1 לפי רשומת ה-CVE (ייעוץ וורדפרס מדרג נמוך) |
| מנוצל בפועל | כן, CISA הוסיפה ל-KEV |
| תיקון | 7.1.4 ועדכונים מקבילים לענפים ישנים עד 4.7 |
מה קרה
בעדכון ליבה עם חבילה מלאה, וורדפרס פורסת עותק של הגרסה החדשה, כולל קבצי ההתקנה, בתיקייה זמנית תחת wp-content/upgrade. תוקף לא מאומת שמנחש את שם התיקייה ומגיע אליה לפני המחיקה עלול להריץ קוד.
גרסה 7.1.4 נותנת לתיקייה שם אקראי, אך בעדכון המעבר הקוד הישן עדיין פועל. באתרים בגרסה 5.9 ומעלה השם נגזר משם הקובץ שהורד, ולכן ניתן לחיזוי באותו עדכון. אחריו, עדכונים עתידיים כבר בטוחים. לפי הדיווח, בבדיקות מעבדה החלון נמשך שניות בלבד, אך Wordfence זיהתה ניסיונות תקיפה כתשע דקות אחרי פריסת כלל חומת האש.
נקודות לשים לב
- לפני העדכון, חסום גישת רשת ל-
wp-content/upgradeבהגדרות השרת, ובדוק שבקשה לנתיב מחזירה 403. - אל תשים קובץ
.htaccessבתוך התיקייה הזו, כי המעדכן הישן מוחק את תוכנה. wp core updateב-WP-CLI מריץ את אותו מעדכן ולכן אינו תחליף לחסימה.- אחרי העדכון חפש בקשות לקובצי PHP תחת
wp-content/upgrade, משתמשי מנהל לא מוכרים ותוספים שלא התקנת. - בעדכון אוטומטי אין לך שליטה בתזמון, ולכן הוסף את החסימה גם באתרים שמעדכנים עצמם.
מקורות: The Hacker News · ייעוץ אבטחה של וורדפרס · Wordfence
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
