CVE-2026-119977

WordPress Core 4.7.0 - 7.1.3 - Tấn công thực thi mã từ xa trong khoảng thời gian cập nhật không xác thực

WordPress Core trong các phiên bản từ 4.7 đến 7.1.3 có thể bị tấn công thực thi mã từ xa (Remote Code Execution - RCE) do sử dụng các đường dẫn dự kiến, web truy cập được trong quá trình cập nhật toàn bộ gói core. Điều này cho phép kẻ tấn công không xác thực thực thi mã trên máy chủ trong khoảng thời gian cập nhật.

CNA cấp mã

Wordfence

Ngày công bố

31/10/2026

Cập nhật

04/11/2026

CVSS (NVD)

8.1 · HIGH

Loại lỗi (CWE)

CWE-367

EPSS (FIRST)

1.20% khả năng bị khai thác trong 30 ngày

CISA KEV

WordPress WordPress Core — WordPress WordPress Core Điều kiện đua Thời điểm kiểm tra Thời điểm sử dụng (TOCTOU) Lỗ hổng. Đưa vào 2026-11-03, hạn khắc phục 2026-11-06. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu hóa cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và hướng dẫn CISA “Yêu cầu điều tra pháp y”. Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá sự phơi bày internet của mỗi tài sản và đảm bảo tuân thủ hướng dẫn cập nhật của BOD 26-04.