WordPress, sfruttata attivamente la CVE-2026-119977: rischio esecuzione di codice

• Sfruttamento attivo in rete della CVE-2026-119977 in WordPress Core, CVSS 8.1
• Attaccante remoto non autenticato può eseguire codice arbitrario durante gli aggiornamenti
• Colpiti i rami dal 4.7.x al 7.1.x, se precedenti alle versioni corrette
• Aggiornare subito seguendo il bollettino di sicurezza del vendor

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha segnalato lo sfruttamento attivo in rete della vulnerabilità CVE-2026-119977, presente in WordPress Core. Il difetto è già stato corretto dal vendor. Se sfruttato, consente a un attaccante remoto e non autenticato di eseguire codice arbitrario sul server.

Il problema tecnico

La falla è classificata come Time-of-check Time-of-use (TOCTOU) Race Condition, cioè una condizione di competizione in cui lo stato di una risorsa cambia tra il momento del controllo e quello dell’uso. Il punteggio CVSS v3.1 è 8.1.

La causa è l’uso di percorsi di staging prevedibili e raggiungibili via web durante gli aggiornamenti completi di WordPress Core. Un attaccante potrebbe accedere alla directory di staging e richiamare specifici file nella finestra temporale in cui l’aggiornamento è in corso. In questo modo otterrebbe l’esecuzione di codice sul server.

Versioni interessate

Sono coinvolti numerosi rami del CMS. Per ciascuno è indicata la prima versione corretta:

• 4.7.x: prima della 4.7.39
• 4.8.x: prima della 4.8.34
• 4.9.x: prima della 4.9.35
• 5.0.x: prima della 5.0.31
• 5.1.x: prima della 5.1.28
• 5.2.x: prima della 5.2.30
• 5.3.x: prima della 5.3.27
• 5.4.x: prima della 5.4.25
• 5.5.x: prima della 5.5.24
• 5.6.x: prima della 5.6.23
• 5.7.x: prima della 5.7.21
• 5.8.x: prima della 5.8.19
• 5.9.x: prima della 5.9.20
• 6.0.x: prima della 6.0.18
• 6.1.x: prima della 6.1.16
• 6.2.x: prima della 6.2.15
• 6.3.x: prima della 6.3.14
• 6.4.x: prima della 6.4.14
• 6.5.x: prima della 6.5.14
• 6.6.x: prima della 6.6.11
• 6.7.x: prima della 6.7.11
• 6.8.x: prima della 6.8.12
• 6.9.x: prima della 6.9.11
• 7.0.x: prima della 7.0.8
• 7.1.x: prima della 7.1.4

Cosa fare

L’ACN raccomanda di aggiornare tempestivamente i sistemi vulnerabili, seguendo le indicazioni del bollettino di sicurezza del vendor. Chi gestisce siti WordPress dovrebbe verificare la versione in uso e installare la release corretta del proprio ramo.

Fonte: ACN