LOGIN
In Breve (TL;DR)
- La CISA ha confermato lo sfruttamento attivo di CVE-2026-119977, vulnerabilità del processo di aggiornamento di WordPress.
- Un aggressore non autenticato può, in determinate condizioni, eseguire codice sul server durante un aggiornamento completo del core.
- La patch è già disponibile con WordPress 7.1.4 e con gli aggiornamenti di sicurezza rilasciati per i rami precedenti interessati.
Chi gestisce un sito WordPress dovrebbe controllare subito che il CMS sia aggiornato. La vulnerabilità identificata come CVE-2026-119977 viene infatti già sfruttata in attacchi reali e la CISA, l'agenzia statunitense per la cybersicurezza, l'ha inserita nel catalogo Known Exploited Vulnerabilities.
La falla interessa il processo con cui WordPress aggiorna il proprio core e ha un punteggio CVSS di 8,1 su 10. In determinate condizioni un aggressore privo di account può approfittare della breve finestra aperta durante l'aggiornamento per arrivare a eseguire codice sul server.
La buona notizia è che la correzione è già disponibile. WordPress 7.1.4, pubblicato il 28 ottobre, include la patch e il team del CMS raccomanda di installare immediatamente l'aggiornamento di sicurezza.
Come funziona la falla di WordPress durante gli aggiornamenti
CVE-2026-119977 è legata a una cosiddetta race condition TOCTOU, acronimo di Time-of-check Time-of-use. Il problema emerge durante gli aggiornamenti del core che utilizzano un pacchetto completo.
In questa fase WordPress prepara temporaneamente una copia dei file necessari all'installazione all'interno di percorsi che, nelle versioni vulnerabili, possono essere prevedibili e raggiungibili via Web.
Un attaccante che riesce a individuare il percorso e intervenire nella breve finestra in cui l'aggiornamento è in corso può quindi tentare di sfruttare l'installer temporaneo ed eseguire codice con i privilegi del server Web.
L'attacco non è semplice: richiede tempismo e viene considerato ad alta complessità. Ma non è più soltanto teorico. CISA ha confermato che la vulnerabilità viene sfruttata attivamente e Wordfence ha registrato migliaia di tentativi indirizzati proprio ai percorsi utilizzati durante gli aggiornamenti.
Il problema riguarda le versioni di WordPress comprese tra la 4.7 e la 7.1.3 che non hanno ricevuto la relativa correzione.
Come proteggere un sito WordPress dalla CVE-2026-119977
La prima cosa da fare è verificare quale versione di WordPress è installata. Per il ramo più recente, la falla è corretta con WordPress 7.1.4.
L'aggiornamento può essere avviato dalla Bacheca, entrando nella sezione dedicata agli aggiornamenti. Sui siti configurati per ricevere automaticamente gli aggiornamenti di sicurezza, il processo può essere eseguito in background, ma è comunque utile controllare che sia stato completato correttamente.
Le correzioni sono state distribuite anche per diversi rami precedenti ancora idonei a ricevere security update. WordPress ricorda però che soltanto la versione più recente è attivamente supportata, quindi chi utilizza installazioni molto vecchie dovrebbe valutare il passaggio a una release corrente.
La versione 7.1.4 non risolve inoltre soltanto CVE-2026-119977. La release contiene diverse altre correzioni di sicurezza, comprese vulnerabilità XSS e problemi che coinvolgono differenti componenti del CMS.
Il punto più importante resta quindi non rimandare l'aggiornamento. Una vulnerabilità che richiede condizioni particolari per essere sfruttata può sembrare meno urgente, ma l'inserimento nel catalogo CISA conferma che gli attaccanti stanno già cercando di utilizzarla contro siti reali.
Per saperne di più: Sicurezza informatica: guida alla navigazione sicura sul web
Domande frequenti (FAQ)
-
Cos'è CVE-2026-119977?È una vulnerabilità nel processo di aggiornamento del core di WordPress che può consentire l'esecuzione remota di codice durante la finestra dell'upgrade.
-
Quali versioni di WordPress sono coinvolte?La vulnerabilità interessa WordPress dalla versione 4.7 alla 7.1.3 se non sono state applicate le relative correzioni di sicurezza.
-
La falla viene già sfruttata?Sì. CISA ha inserito CVE-2026-119977 nel catalogo delle vulnerabilità note già sfruttate negli attacchi.
-
Serve avere un account WordPress per sfruttarla?No. L'attacco può essere eseguito senza autenticazione, anche se richiede condizioni precise e una corretta sincronizzazione con l'aggiornamento.
-
Quale versione corregge la vulnerabilità?Nel ramo attuale la correzione è inclusa in WordPress 7.1.4. Sono state distribuite patch anche per diversi rami precedenti.
-
Cosa deve fare chi gestisce un sito WordPress?Verificare la versione installata, applicare immediatamente l'ultimo aggiornamento di sicurezza disponibile e controllare che l'aggiornamento sia stato completato correttamente.
