WORLDTECHCISA meldet aktive Angriffe auf Upgrade-Lücke im WordPress-Kern
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit CISA führt eine hoch eingestufte Schwachstelle im WordPress-Kern als aktiv ausgenutzt, wie The Hacker News berichtet. Die Schwäche lässt sich bei vollständigen Kern-Upgrades missbrauchen, wobei Angreifer Code auf einem Server ausführen können, ohne ein Konto auf der Website zu besitzen.
Einzelheiten zur Schwachstelle
Die Lücke wird unter der Kennung CVE-2026-119977 geführt und erhält einen CVSS-Wert von 8,1. Es handelt sich um eine Race Condition vom Typ Time-of-check Time-of-use, bei der sich der Zustand einer Ressource zwischen Prüfung und Nutzung ändern kann. Laut The Hacker News könnte die Schwäche ausgenutzt werden, um beliebigen Code auf betroffenen Servern auszuführen.
CISA führt das Problem auf vorhersehbare, über das Web erreichbare Staging-Pfade zurück, die bei vollständigen Kern-Upgrades genutzt werden. Nicht authentifizierte Angreifer könnten demnach während eines laufenden Upgrades Code auf dem Server ausführen.
Angriffsversuche und Offenlegung
Wordfence veröffentlichte die Details der Lücke in der vergangenen Woche und erklärte, für die Ausnutzung sei kein Konto auf der Website nötig, wohl aber ein Zugriff auf ein kurzes Zeitfenster während eines vollständigen Core-Updates. In den ersten 21 Stunden nach der öffentlichen Bekanntgabe registrierte das Sicherheitsunternehmen für WordPress mehr als 18.500 Anfragen, die auf vorbereitete Installationspfade "setup-config.php" zielten.
Zum Zeitpunkt der Berichterstattung waren in den vorangegangenen 24 Stunden 12.632 Angriffe zur Ausnutzung der Lücke blockiert worden. Telemetriedaten von Previdian verzeichneten drei Ausnutzungsversuche gegen dessen Honeypot-Sensoren von einer IP-Adresse, die im Vereinigten Königreich lokalisiert wurde. Die Ausnutzungsereignisse wurden am 30. Oktober 2026 beobachtet.
Patches und Frist für Bundesbehörden
Patches gegen die Lücke wurden Ende des vergangenen Monats veröffentlicht. Da CISA die Ausnutzung nun bestätigt hat, haben die Behörden der zivilen Bundesverwaltung bis zum 6. November 2026 Zeit, die Korrekturen einzuspielen.
Offene Fragen
- Wie viele WordPress-Websites sind noch ungepatcht und dem Angriff im Upgrade-Fenster ausgesetzt?
- Wurden über die bisher gemeldeten blockierten und versuchten Angriffe hinaus erfolgreiche Kompromittierungen bestätigt?