← اخبار و مقالات
امنیتشدت: بحرانی
CISA آسیب‌پذیری هسته‌ی وردپرس را به فهرست آسیب‌پذیری‌های فعالانه‌ی بهره‌برداری‌شده افزود
آسیب‌پذیری CVE-2026-119977 در هسته‌ی وردپرس از نوع race condition در فرایند به‌روزرسانی است و امکان اجرای کد بدون احراز هویت را می‌دهد. CISA آن را در ۳ نوامبر به فهرست KEV اضافه کرد.
آژانس امنیت سایبری و زیرساخت آمریکا (CISA) روز ۳ نوامبر ۲۰۲۶ آسیب‌پذیری CVE-2026-119977 در هسته‌ی وردپرس را به فهرست Known Exploited Vulnerabilities (KEV) اضافه کرد. این یعنی شواهدی از بهره‌برداری فعال از آن وجود دارد.
این ضعف از نوع TOCTOU (فاصله‌ی زمانی بین بررسی و استفاده) است و در جریان فرایند به‌روزرسانی رخ می‌دهد؛ مهاجم می‌تواند بدون احراز هویت کد دلخواه اجرا کند.
توصیه‌ها
- وردپرس را فوراً به آخرین نسخه‌ی وصله‌شده ارتقا دهید و به‌روزرسانی خودکار امنیتی را فعال نگه دارید.
- دسترسی به
/wp-adminرا در صورت امکان به IPهای مشخص محدود کنید. - لاگ وب‌سرور را برای درخواست‌های غیرعادی در زمان به‌روزرسانی بررسی کنید.
- یک فایروال برنامه‌ی وب (WAF)، مثلاً در لایه‌ی CDN، جلوی سایت قرار دهید.
همچنین در همین هفته گزارش‌هایی از تلاش برای بهره‌برداری از یک آسیب‌پذیری با امتیاز ۱۰ در یکی از افزونه‌های وردپرس (CVE-2026-81648) منتشر شد؛ افزونه‌های بلااستفاده را حذف کنید.