Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
WordPress Core est vulnérable à l'exécution de code à distance dans les versions 4.7 à 7.1.3. Cela est dû aux chemins de mise en scène prévisibles et accessibles sur le Web utilisés lors des mises à jour de cœurs de plein paquet. Cela permet aux attaquants non authentifiés d'exécuter du code sur le serveur pendant la fenêtre de mise à niveau.
Texte officiel (anglais)
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
Les attaquants ont lancé plus de 240 000 tentatives d'exploitation contre un défaut de mise à jour de processus de WordPress Core qui peut permettre une exécution de code à distance non authentifiée. Le chercheur en Wordfence, István Márton, a indiqué que le ciblage avait commencé le 28 octobre 2026. Suivie comme CVE-2026-119977, la question de haute gravité porte un score CVSS de 8.1 et affecte des branches non-patchées couvrant WordPress 4.7 à 7.1.3. Les [
La U.S. Cybersecurity and Infrastructure Security Agency (CISA) a ajouté un défaut de sécurité dans WordPress Core au catalogue des vulnérabilités explicitées (KEV), ce qui a mis en évidence l'exploitation active. La vulnérabilité à haute gravité, suivie par CVE-2026-119977 (note CVSS : 8.1), est un cas de condition de course de temps de contrôle (TOCTOU) qui pourrait être exploité pour obtenir un code arbitraire
Le CISA a ajouté une nouvelle vulnérabilité à son catalogue de vulnérabilités explicitées connues (KEV), en se fondant sur des preuves d'exploitation active. CVE-2026-119977 WordPress Core Time-of-check Time-of-use (TOCTOU) Race Condition Vulnérabilité Ce type de vulnérabilité est un vecteur d'attaque fréquent pour les cyberacteurs malveillants et pose des risques importants pour l'entreprise fédérale. Directive opérationnelle contraignante (DBO)
