CISA предупредила об активной эксплуатации уязвимости CVE-2026-119977 в ядре WordPress, которая позволяет выполнить код без аутентификации. По данным Wordfence, за сутки специалисты заблокировали почти 63 000 попыток атаки.

Уязвимость срабатывает в момент обновления движка: злоумышленнику не нужны учётные данные, достаточно попасть в окно, когда ядро обновляется. Именно этот этап традиционно считается служебным и реже проверяется на предмет внешнего воздействия.

CISA включила баг в каталог известных эксплуатируемых уязвимостей, что формально обязывает федеральные агентства США устранить проблему в установленные сроки. Для остальных это сигнал, что эксплойт уже гуляет по сети, а не существует в теории.

Масштаб в 63 тысячи попыток за сутки говорит о автоматизированных сканерах, которые прошлись по известным точкам входа. WordPress занимает заметную долю веба, так что мимо цели такой шум обычно не проходит.

Владельцам сайтов стоит проверить версию ядра и логи обновлений, а также ограничить доступ к служебным эндпоинтам на время апдейтов. Ожидаемо, что патч выйдет быстро, но часть установок останется без обновления ещё месяцами.