أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في 3 نوفمبر 2026 ثغرة (CVE-2026-119977) في نواة WordPress ضمن فهرس الثغرات المستغلة فعلياً (KEV). وحددت الوكالة 6 نوفمبر موعداً نهائياً للوكالات الفيدرالية المدنية لتطبيق إجراءات التخفيف. يصنف الخلل كسباق زمني من نوع فحص ثم استخدام (TOCTOU)، ويتيح لمهاجم غير مصادق تنفيذ شيفرة برمجية على الخادم خلال نافذة الترقية، مستغلاً مسارات تجهيز يمكن توقعها والوصول إليها عبر الويب أثناء إجراء الترقيات بالحزمة الكاملة.
أوضحت النشرة الأمنية لمنصة WordPress على GitHub الصادرة في 29 أكتوبر، أن النظام يستخرج أثناء الترقية بالحزمة الكاملة الملفات الجديدة إلى مجلد متوقع داخل مسار الترقية المتاح عبر الويب. يسمح هذا السلوك لمهاجم غير مصادق بكسب السباق الزمني وتحقيق تنفيذ أوامر عن بعد. وينسب اكتشاف الخلل والإبلاغ عنه إلى الباحث Umut Bayram، في حين صنفت النشرة خطورته بالمنخفضة دون ذكر معرف الثغرة وقت النشر.
صدر الإصلاح الرسمي ضمن إصدار WordPress 7.1.4 في 28 أكتوبر 2026. وأكدت نشرة GitHub نقل هذا الإصلاح برمجياً إلى كافة الفروع السابقة وصولاً إلى الفرع 4.7، لتشمل الإصدارات المصلحة نسخاً مثل 7.0.8 و6.9.11. تبدأ المواقع الداعمة للتحديث التلقائي في الخلفية بتطبيق الإصلاح ذاتياً، مع توصية مشددة بتحديث المواقع الأخرى فوراً. يعالج هذا الإصدار ثغرات إضافية تشمل البرمجة عبر المواقع (XSS) المخزنة في كتل المحتوى وواجهة Interactivity API، إلى جانب تحديث شهادات الجذر المضمنة إثر إلغاء شهادات eMudhra.
تبلغ درجة خطورة الثغرة 8.1 على مقياس CVSS لتصنف عالية الخطورة وفقاً لبيانات Wordfence، حيث لا يتطلب استغلالها وجود حساب مسجل على الموقع، بل يقتصر على قدرة المهاجم على استهداف النافذة الزمنية القصيرة أثناء الترقية الكاملة للنواة. سجلت Wordfence أكثر من 18,500 طلب على مسارات setup-config.php المجهزة للتثبيت خلال أول 21 ساعة من الإعلان، وحجبت 12,632 هجوماً في الساعات الأربع والعشرين الماضية. بالتوازي، رصدت أجهزة Previdian ثلاث محاولات استغلال في 30 أكتوبر مصدرها عنوان IP في بريطانيا.
يبرز تباين واضح بين الجهات في تقييم مستوى الخطورة، فبينما تصفها نشرة WordPress بالمنخفضة، تمنحها Wordfence درجة 8.1، في حين تعتمد CISA في إدراجها على أدلة الاستغلال الفعلي بعيداً عن التقييم النظري. يشترط فهرس الوكالة تطبيق التخفيف وفق تعليمات المطور، أو إيقاف استخدام المنتج حال تعذر ذلك، مع إلزامية إجراء فرز جنائي بموجب التوجيه التشغيلي BOD 26-04. ولا توجد أدلة حالية في الفهرس على استخدام الثغرة في هجمات برامج الفدية.
تغيب في المصادر المقروءة تفاصيل هوية المهاجمين أو العدد الدقيق للمواقع المخترقة، ولم توضح أرقام Wordfence حجم الطلبات الناجحة من إجمالي المحاولات. وتلزم CISA بتطبيق إجراءات التخفيف بحسب توجيهات المطور، حيث يتوفر الإصلاح الجذري في الإصدار 7.1.4 أو الإصدارات المقابلة لكل فرع برمجي.
