WordPress Kwetsberens CVE-2026-119977: Siden hackt tidens updates en hoe jo jo eigen kinne beskermje

Ein oktober 2026 waard in kwetsberens fûn yn it WordPress-updatemeganisme: CVE-2026-119977 . It lit in oanfaller sûnder oanmeldnamme of wachtwurd willekeurige koade op 'e server útfiere - mar allinich wylst de side bywurket. De kwetsberens wurdt al brûkt yn echte oanfallen.

Hjirûnder stiet hoe't it wurket, wa't der lêst fan hat en wat jo dwaan moatte om jo side te beskermjen.

De kwetsberens yn it koart

• Wat it is: in racebetingst (TOCTOU-klasse) yn it folsleine WordPress-kearnupdateproses.
• Ernst: CVSS 8.1 (Heech).
• Betroffen ferzjes: WordPress 4.7 oant en mei 7.1.3 ynklusyf.
• Wat de oanfaller nedich hat: allinnich HTTP-tagong ta de side. Gjin autentikaasje en gjin aksje fan 'e behearder fereaske.
• Eksploitaasje: op 3 novimber 2026 foege CISA de kwetsberens ta oan har katalogus fan Known Exploited Vulnerabilities (KEV). Wordfence registrearre mear as 18,500 oanfragen nei de kwetsbere paden yn 'e earste 21 oeren nei't de details bekend makke waarden.

Hoe't de oanfal wurket

Tidens in folsleine kearnupdate docht WordPress it folgjende:

1. Downloadt it argyf mei de nije ferzje.
2. Ekstraheart it nei in tydlike map binnen wp-content/upgrade/.
3. Kopiearret de bestannen oer de live side.
4. Wisket de tydlike map.

It probleem is dat de tydlike map op in foarsisber paad en is berikber fanút in browserBinnenyn sit in folsleine kopy fan WordPress, ynklusyf de setup-config.php installer.

Wylst de update rint, kin de oanfaller dit ynstallaasjeprogramma iepenje en der trochhinne gean. As gefolch kinne se de live fernijing ferfange. wp-config.php en de side nei harren eigen lege database rjochtsje. WordPress biedt dan in "ynstallaasje" oan - de oanfaller foltôget it, wurdt in behearder en fiert harren eigen PHP-koade op 'e server út.

It oanfalsfinster is de pear sekonden dy't de update duorret. Dat makket de oanfal yn 'e praktyk lestich út te fieren, mar massa-scanners ûndersykje de kwetsbere paden konstant, en rekkenje op krekt dy timing om op ien line te kommen.

Ferzje 7.1.4 makket de namme fan 'e tydlike map willekeurich, foeget beskerming ta tsjin direkte tagong en blokkearret dat de konfiguraasje oerdroegen wurdt fan 'e tydlike kopy.

Timeline

Fêste ferzjes

De reparaasje is weromportearre nei elke stipe tûke oant en mei 4.7. Wy riede oan om te aktualisearjen nei de lêste ferzje, 7.1.4.

Ferzjes 4.6 en âlder hawwe gjin oplossing krigen. Dizze siden moatte bywurke wurde nei in aktuele ferzje of bûten gebrûk steld wurde.

Stap 1. Kontrolearje jo WordPress-ferzje

Yn it adminpaniel: Dashboard → Updates . Fertrou net op automatyske updates - se binne miskien net útfierd: se kinne útskeakele wêze, mislearje fanwegen bestânsrjochten of oerskreaun wurde troch in plugin.

Mei WP-CLI:

wp core version

As jo ​​ferskate siden op 'e server hawwe, kinne jo elke WordPress-ynstallaasje en syn ferzje sa fine:

find /var/www -path '*/wp-includes/version.php' -exec grep -H "wp_version =" {} \;

Ferfange /var/www mei de map wêr't jo siden lizze.

Stap 2. Blokkearje tagong ta wp-content/upgrade/ (foar VPS en tawijde servers)

Dit is de wichtichste maatregel. It slút it oanfalsfinster, nettsjinsteande jo WordPress-ferzje, en bemuoit him net mei updates: WordPress wurket mei dizze map fia it bestânsysteem, net fia it web. Doch dit foardat jo bywurkje, om't de oanfal krekt tidens de update bart.

nginx

Foegje dit ta oan jo side server blok:

location ^~ /wp-content/upgrade/ {
    deny all;
}

Test de konfiguraasje en ferfarskje nginx:

nginx -t && systemctl reload nginx

Apache en LiteSpeed

Foegje dit ta oan de .htaccess bestân yn 'e root fan' e side, boppe de standert # BEGIN WordPress blok:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-content/upgrade/ - [F,L]
</IfModule>

As jo ​​tagong hawwe ta de konfiguraasje fan 'e Apache firtuele host, is it betrouberder om de map dêr te blokkearjen:

<Directory "/var/www/example.com/wp-content/upgrade">
    Require all denied
</Directory>

Ferfange it paad mei jo eigen en ferfarskje Apache:

apachectl configtest && systemctl reload apache2

Op AlmaLinux, Rocky en oare RHEL-basearre systemen wurdt de tsjinst neamd httpd.

Kontrolearje oft it blok wurket

curl -I https://example.com/wp-content/upgrade/

It antwurd moat koade weromjaan 403.

Stap 3. Meitsje in reservekopy

Meitsje in reservekopy fan 'e sidebestannen en databank foardat jo bywurkje. Mei WP-CLI:

wp db export ~/backup-$(date +%F).sql
tar -czf ~/site-files-$(date +%F).tar.gz -C /var/www/example.com .

As jo ​​in VPS hawwe, kinne jo ek in server-snapshot meitsje yn it kontrôlepaniel.

Stap 4. WordPress bywurkje

Fia it adminpaniel of WP-CLI

As jo ​​tagong ta blokkearre hawwe wp-content/upgrade/ (Stap 2), bywurkje lykas gewoanlik - fanút it adminpaniel of mei WP-CLI:

wp core update
wp core update-db
wp core version

It lêste kommando moat 7.1.4 of de fêste ferzje foar jo tûke sjen litte.

Manuell, sûnder oanfalsfinster

As jo ​​de tagong ta de map op webservernivo net blokkearje kinne (bygelyks, jo hawwe gjin tagong ta de konfiguraasje), is it feiliger om it manuell te aktualisearjen. It argyf wurdt bûten de root fan 'e side útpakt, en de bestannen wurde oerkopiearre sûnder oan te reitsjen. wp-config.php or wp-content:

cd /tmp
wget https://wordpress.org/latest.tar.gz
tar -xzf latest.tar.gz
rsync -a --exclude 'wp-content' --exclude 'wp-config.php' /tmp/wordpress/ /var/www/example.com/
rm -rf /tmp/wordpress /tmp/latest.tar.gz

Weromsette dan it eigendom fan it bestân (de brûker fan 'e webserver kin oars wêze, bygelyks nginx or apache) en de databank bywurkje:

chown -R www-data:www-data /var/www/example.com
wp core update-db

Ynstee fan it lêste kommando kinne jo iepenje https://example.com/wp-admin/upgrade.php yn jo blêder.

Ferjit plugins en tema's net

wp plugin update --all
wp theme update --all

Stap 5. Kontrolearje jo side op tekens fan kompromis

As jo ​​side nei 28 oktober bywurke is fan in kwetsbere ferzje, soargje der dan foar dat nimmen misbrûk makke hat fan 'e oanfal.

Oanfragen oan tydlike ynstallearders yn 'e logs:

# nginx
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log*

# Apache
grep -E "wp-content/upgrade/.*\.php" /var/log/apache2/access.log*

Oanfragen mei in 200 antwurdkoade binne foaral fertocht.

In ferfongen wp-config.php: kontrolearje de wizigingsdatum fan it bestân en de ferbiningsynstellingen foar de databank.

ls -l /var/www/example.com/wp-config.php
grep -E "DB_(NAME|USER|HOST)" /var/www/example.com/wp-config.php

Yntegriteit fan kearnbestân:

wp core verify-checksums

Unbekende PHP-bestannen en behearders:

find /var/www/example.com/wp-content/upgrade /var/www/example.com/wp-content/uploads -name "*.php"
find /var/www/example.com -name "*.php" -mtime -10
wp user list --role=administrator

As jo ​​in ferfongen fine wp-config.php, ûnbekende behearders of ûnferwachte PHP-bestannen, behannelje de side dan as kompromittearre. Weromsette fan in reservekopy makke foar 28 oktober, bywurkje WordPress en feroarje alle wachtwurden: behearder, database, FTP en SSH.

As in oannimmer jo side ûnderhâldt

Stjoer dit artikel nei harren troch en freegje harren om te befêstigjen dat de side bywurke is nei in fêste ferzje en kontrolearre is op tekens fan kompromittearring.

Help nedich hawwe?

Net wis dat jo dit sels oan kinne, of fertochte bestannen fûn? Nim kontakt op mei ús stipeteam - wy sille jo helpe om it op te lossen.