Më 28 tetor 2026, ekipi i sigurisë së WordPress publikoi versionin emergjent 7.1.4, me korrigjime për 22 gabime. Mes tyre ishte CVE-2026-119977, një dobësi që mundëson ekzekutimin e kodit në distancë (RCE) pa autentikim, me vlerësim CVSS 8.1. Ajo prek WordPress Core nga versioni 4.7 deri te 7.1.3 dhe u zbulua e raportua nga Umut Bayram.
Problemi lidhet me një race condition gjatë përditësimit të sistemit. WordPress shkarkon paketën ZIP, e shpaketon në një dosje të përkohshme brenda wp-content/upgrade/, kopjon skedarët mbi instalimin ekzistues dhe më pas fshin dosjen e përkohshme. Dobësia shfaqet mes shpaketimit dhe kopjimit të skedarëve.
Dosja e përkohshme ndodhet brenda direktorisë së arritshme publikisht nga interneti. Sulmuesit synojnë këto dosje gjatë intervalit të përditësimit. Sipas të dhënave të monitorimit nga Wordfence dhe Patchstack, në 24 orët e para pas njoftimit u regjistruan mbi 62,000 tentativa të automatizuara shfrytëzimi, me kërkesa që synonin setup-config.php.
Korrigjimi përfshihet në WordPress 7.1.4 dhe në përditësimet e sigurisë për degët e mëparshme. Rreziku prek si pronarët e faqeve individuale, ashtu edhe administratorët e infrastrukturave të hostimit me shumë klientë, pasi procesi i cenueshëm përdoret për përditësimet nga paneli administrativ dhe ato automatike në sfond.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
