WORLDTECHCISA nimmt WordPress-Lücke CVE-2026-119977 in Katalog ausgenutzter Schwachstellen auf
Die US-Behörde Cybersecurity and Infrastructure Security Agency hat eine WordPress-Lücke mit hohem Schweregrad unter der Kennung CVE-2026-119977 in ihren Katalog bekannter, ausgenutzter Schwachstellen aufgenommen, berichtet Security Affairs.
Schweregrad und betroffene Versionen
Die Lücke erhält einen CVSS-Wert von 8,1 und erlaubt das Ausführen fremder Programme auf einem Rechner aus der Ferne. Betroffen sind WordPress-Versionen 4.7 bis 7.1.3. Ursache sind vorhersehbare, über das Web erreichbare Staging-Verzeichnisse, die während Kern-Updates genutzt werden.
Race Condition während Updates
Laut dem Bericht könnte ein nicht angemeldeter Angreifer über eine Race Condition während eines laufenden Updates Schadcode auf dem Server ausführen, was die Website gefährden könnte.
Korrektur und frühe Scan-Aktivität
WordPress hat die Lücke in Version 7.1.4 behoben. Kurz nach diesem Sicherheitsupdate begannen Angreifer, nach CVE-2026-119977 zu scannen. Wordfence registrierte innerhalb der ersten 21 Stunden mehr als 18.500 Anfragen an verwundbare Installationspfade des Staging-Installers. Diese Zahlen belegen Angriffsversuche, nicht bestätigte erfolgreiche Kompromittierungen.
Frist für Bundesbehörden
CISA verpflichtet Bundesbehörden, die Lücke bis zum 6. November 2026 zu beheben. Experten raten zudem privaten Organisationen, den Katalog zu prüfen und die aufgeführten Schwachstellen in ihrer eigenen Infrastruktur zu beseitigen.
Offene Fragen
- Wie viele Websites wurden tatsächlich über diese Lücke kompromittiert?